安全REST API接入WSO2 API Manager的Authorization头配置方法

• 首先在API Publisher导入后端API完成基础信息配置后，第一时间检查API运行时配置：WSO2 APIM默认开启「转发后端请求时移除Authorization头」的策略，这是绝大多数场景下头丢失的核心原因，需要手动关闭该选项。
• 全局配置校验：如果是APIM 4.x及以上版本，打开网关节点的<APIM_HOME>/repository/conf/deployment.toml配置文件，确认如下配置项为关闭状态，修改后需要重启网关生效：

[apim.gateway]
remove_authorization_header = false

• 头透传规则配置：进入API的请求头管理页，将Authorization加入出站请求透传白名单，确认头过滤黑名单中没有包含该字段；如果配置了自定义出站mediation序列，需要检查序列逻辑中没有删除、覆写Authorization头的逻辑。
• 鉴权方案适配：如果你的后端服务自带安全校验逻辑，不需要WSO2层额外做鉴权，就在API安全配置页关闭默认的OAuth2、API Key等WSO2自有鉴权方案，避免网关提前拦截未携带WSO2鉴权凭证的请求；如果需要同时保留WSO2层鉴权和后端自有鉴权，可以配置头映射规则——比如要求调用方将后端需要的密钥放在X-Backend-Auth头中，配置网关转发时将该头映射为后端接收的Authorization头，避免WSO2鉴权逻辑消费掉原Authorization头。
• 端点配置校验：检查配置的后端端点是否开启了端点级别的认证（比如端点级Basic Auth、OAuth2），这类配置会自动生成新的Authorization头覆盖客户端传入的原头，如果不需要端点自动生成鉴权头，将端点认证模式设置为「None」即可。
• 验证环节：API发布后先通过网关调试工具发起测试请求，分别查看网关访问日志、后端服务访问日志，确认Authorization头从客户端到网关、网关到后端两个链路都正常传递；如果仍然丢失，按顺序排查全局配置、API级头策略、自定义mediation逻辑、端点认证配置四个位置即可。

踩坑提示：如果开启了WSO2自带的OAuth2鉴权，网关在校验Token合法性后默认会剥离该Authorization头再转发给后端，这种场景下要么关闭全局头移除配置，要么用自定义头传递后端需要的密钥，不要直接复用WSO2鉴权用的Authorization头传后端密钥。

内容的提问来源于stack exchange，提问作者jiyan