Azure APIM导出OAS时安全定义与策略缺失的配置及信息传达方案问询

安全规则的正确配置位置 #

不需要把安全规则填写在描述字段，按以下层级配置即可：

• 差异化接口安全规则：在APIM的「策略」面板按API/操作粒度配置，例如JWT校验用validate-jwt策略、客户端证书校验用check-client-certificate策略，不同后端的特殊验证逻辑都可以在这里实现。
• 订阅密钥规则：直接在API设置页的「需要订阅」开关控制即可，无需额外配置。

OAS导出不保留安全配置的处理方案 #

APIM当前的产品设计默认不会将策略内的安全配置、全局安全设置同步到导出的OAS文件，仅会默认保留订阅密钥的相关声明，不属于遗漏配置。你可以根据业务场景选择两种处理方式：

• 轻量场景：导出OAS后手动补充安全定义，在OAS的securitySchemes节点添加JWT、证书等验证规则，再关联到对应接口的security节点后，再发布给消费者。
• 大规模场景：调用APIM的管理接口拉取全量API的策略配置、元数据，通过自定义脚本自动生成带完整安全规则的OAS文件，避免每次手动修改。

告知API消费者安全要求的渠道 #

• 优先使用APIM自带的开发者门户：在每个API的介绍页、对应操作的描述字段标注清楚安全要求，全局安全规则可以放在开发者门户的公告栏、公共说明文档里。
• 发布OAS时同步配套独立的安全说明文档，明确标注不同后端服务的验证逻辑差异，尤其是如果关闭了「需要订阅」开关，要额外说明不需要传递Ocp-Apim-Subscription-Key请求头，避免消费者被导出OAS中默认保留的订阅密钥声明误导。

内容的提问来源于stack exchange，提问作者JTIM