WSO2 API Manager 3.x能否为部分特定请求移除安全验证？

没问题！在WSO2 API Manager 3.x版本里，完全可以给特定API资源移除安全验证，针对你提到的/products - get这个请求，我来一步步教你怎么配置，顺便解决你之前遇到的"Invalid Credentials"错误：

1. 进入API的资源配置页面 #

• 登录WSO2 API Publisher，找到你要修改的目标API，切换到Design标签页。
• 在左侧菜单栏点击Resources，就能看到你列出的所有API资源：/customer (POST)、/products (GET)、/customer/address (GET)。

2. 修改目标资源的安全配置 #

• 找到/products (GET)这个资源，点击它右侧的编辑按钮（铅笔图标）。
• 在弹出的编辑窗口里，切换到Security选项卡，把原本的安全验证方式（比如OAuth2或API Key）改成None。
• 保存修改后，一定要重新发布API——点击页面顶部的Publish按钮，选择重新发布到网关，确保配置生效。

3. 排查并解决"Invalid Credentials"错误 #

你之前按@Pubci的建议操作后仍报错，大概率是网关层面的全局配置或API默认策略还在强制要求认证，你可以检查这几点：

• 确认API的传输层安全设置：进入API的Settings标签页，查看Transport Level Security，确保没有勾选强制启用的认证相关选项（HTTPS配置和身份验证是两回事，别搞混）。
• 检查全局API策略：登录WSO2的Admin控制台，依次进入Manage > Policies > API Policies，看看有没有全局默认的强制认证策略，确保你的目标API没有继承这个策略。
• 验证网关同步状态：修改配置后，在Publisher的Deployments标签页查看网关是否成功同步了最新的API配置，测试环境下也可以重启网关服务来确保配置加载。

4. 验证配置效果 #

• 直接调用/products (GET)接口，不要携带任何Authorization或apikey请求头，确认能正常返回数据。
• 同时测试其他需要验证的接口（比如/customer (POST)），确保它们仍要求携带有效令牌才能访问，避免全局安全策略被意外破坏。

内容的提问来源于stack exchange，提问作者CLIFFORD P Y