如何基于API Key权限控制Swagger UI端点的显示与隐藏

该需求100%可落地，目前主流的Swagger生态实现（SpringDoc、Springfox）都原生支持扩展点完成这个逻辑，不需要改动Swagger核心源码。

• 配置全局API Key输入项：在Swagger基础配置里注册全局ApiKey安全参数，指定参数传递位置（请求头/Query参数均可），配置完成后Swagger UI顶部的Explore输入框会自动承接用户输入的API Key，后续拉取文档、调试接口都会自动携带该参数。
• 重写文档返回拦截逻辑：拦截Swagger返回接口文档的核心接口（SpringDoc对应/v3/api-docs路径，Springfox对应/v2/api-docs路径），请求到达时先解析用户传入的API Key，校验Key合法性后解析其绑定的接口权限范围，按照权限规则过滤掉无访问权限的Controller、接口路径、请求参数，最终只返回用户权限范围内的文档结构。
• 异常场景兜底：如果用户未输入API Key、输入的Key无效，直接返回空文档结构或仅返回公开无权限要求的接口列表，避免全量接口泄露。

注意：所有过滤逻辑必须在后端接口层实现，不要仅依赖前端做内容隐藏，防止攻击者绕过Swagger UI直接请求文档拉取接口获取全量接口信息。

内容的提问来源于stack exchange，提问作者Joe Defill