如何私有化Swagger文档？Node.js中swagger-ui-express权限配置异常

你的验证逻辑存在一个关键问题：中间件会拦截/apidocs路径下的所有请求，包括Swagger页面依赖的静态资源（如CSS、JS、字体文件等）。这些静态资源请求不会携带userName和password查询参数，因此会被判定为未授权，返回Unauthenticated。页面因无法加载样式和脚本，最终显示空白。

推荐两种可行的私有化方案：

方案1：HTTP Basic 认证（推荐） #

这种方式会让浏览器自动在所有请求（包括静态资源）中携带认证信息，无需额外处理参数传递问题，符合HTTP认证规范：

app.use('/apidocs', (req, res, next) => {
  const authHeader = req.headers.authorization;
  
  // 未携带认证头，触发浏览器登录弹窗
  if (!authHeader) {
    res.setHeader('WWW-Authenticate', 'Basic realm="Swagger API Docs"');
    return res.status(401).send('请输入团队账号密码访问');
  }

  // 解析Basic认证信息
  const [username, password] = Buffer.from(authHeader.split(' ')[1], 'base64')
    .toString()
    .split(':');

  if (username === 'admin' && password === '12345678') {
    next();
  } else {
    res.setHeader('WWW-Authenticate', 'Basic realm="Swagger API Docs"');
    res.status(401).send('账号密码错误');
  }
}, swaggerUI.serve, swaggerUI.setup(getSwaggerSpec()));

方案2：Session 认证（适合复杂权限场景） #

如果需要更灵活的权限控制（比如支持登出、多用户），可以使用Session来管理认证状态：

1. 先安装并配置express-session：

npm install express-session

2. 配置Session并实现认证逻辑：

const session = require('express-session');

// 配置Session（生产环境需调整store和secret）
app.use(session({
  secret: 'your-secret-key',
  resave: false,
  saveUninitialized: false,
  cookie: { secure: false } // 生产环境建议设为true（HTTPS下）
}));

// 仅在访问Swagger入口页时验证查询参数
app.get('/apidocs', (req, res) => {
  if (req.query.userName === 'admin' && req.query.password === '12345678') {
    req.session.isAuthenticated = true;
    return res.redirect('/apidocs/'); // 重定向到Swagger页面
  }
  res.send('请携带正确的userName和password参数访问');
});

// 拦截所有/apidocs下的请求，验证Session
app.use('/apidocs', (req, res, next) => {
  if (req.session.isAuthenticated) {
    next();
  } else {
    res.status(401).send('未授权，请先通过入口页验证');
  }
}, swaggerUI.serve, swaggerUI.setup(getSwaggerSpec()));

• 生产环境中，不要明文存储账号密码，建议从环境变量或配置文件读取。
• 如果使用HTTP Basic认证，建议配合HTTPS使用，避免认证信息被明文传输。

内容的提问来源于stack exchange，提问作者Chicky