本地开发机测试Google Cloud Endpoints v2的App Engine应用API密钥机制

作为刚接触GCP Endpoints和App Engine的新手，你已经走完了项目创建、API密钥生成和注解配置的关键步骤，接下来本地测试其实很直接，我分享下具体操作和注意点：

1. 确认本地开发环境就绪 #

先确保你的本地环境没毛病：

• 已经安装并初始化Google Cloud SDK，通过gcloud init关联到了你的目标项目
• 本地App Engine开发服务器（dev_appserver.py）能正常启动项目，没有启动报错

2. 发送带API密钥的请求 #

本地测试时，你有两种方式传递API密钥，选哪种都可以：

方式一：请求头传递 #

用curl命令（或者Postman这类工具）在请求头里添加X-API-Key字段：

curl -H "X-API-Key: 你的实际API密钥" http://localhost:8080/_ah/api/你的API名称/v1/具体接口路径

方式二：URL参数传递 #

把密钥作为key参数直接拼在URL末尾：

curl http://localhost:8080/_ah/api/你的API名称/v1/具体接口路径?key=你的实际API密钥

3. 验证密钥机制是否生效 #

要确认验证逻辑在本地正常工作，你可以故意用错误的API密钥发请求：

• 如果返回403 Forbidden错误，说明API密钥验证已经生效，本地配置没问题
• 如果用错误密钥还能正常访问，就得检查这两点：
  • 注解是否正确添加：确认是在API类上（@Api(apiKeyRequired = AnnotationBoolean.TRUE)）还是具体方法上（@ApiMethod(apiKeyRequired = AnnotationBoolean.TRUE)）配置了密钥要求
  • 本地服务器是否加载了Endpoints配置：确保app.yaml的handlers里包含Endpoints代理配置，比如：

    handlers:
    - url: /_ah/api/.*
      script: auto
    

4. 本地测试的小提醒 #

• 本地开发服务器不会像生产环境那样严格校验密钥是否属于你的GCP项目，它主要检查密钥是否存在、格式是否合规，但这足够你验证自己的API密钥逻辑是否正确
• 如果用的是OpenAPI定义而非Java注解，要确保在OpenAPI文件的security部分配置了apiKey要求

内容的提问来源于stack exchange，提问作者Degoah