WSO2 API Manager：如何向特定客户隐藏API？

我懂你现在的核心诉求——让不同客户彻底看不到不属于自己的API，之前试的多租户配置没搞定这个点对吧？下面给你几个实操性拉满的方案，帮你实现严格的API隔离，完全满足客户1看不到C、客户2看不到A的要求：

方案1：路由分组+网关拦截（最推荐，易维护） #

这是最直接的路子，把不同租户的API拆到不同路由前缀下，再通过网关把无关请求直接挡在门外：

• 给每个租户分配专属路由前缀：比如客户1用/tenant1/api/，客户2用/tenant2/api/
• 网关层面（比如Nginx、Kong、Spring Cloud Gateway）配置路由规则：
  • 客户1的请求只能转发到A、B的服务实例，根本碰不到C的服务
  • 客户2的请求只能转发到B、C的服务实例，A的服务连请求都收不到
• 关键细节：API文档也按租户前缀分开生成，客户1只能看到/tenant1/api/下的A、B文档，连C的影子都看不到

举个Nginx配置的小例子，一看就懂：

# 客户1专属路由：只放行A、B
location /tenant1/api/a/ {
    proxy_pass http://api-a-service:8080/;
}
location /tenant1/api/b/ {
    proxy_pass http://api-b-service:8080/;
}

# 客户2专属路由：只放行B、C
location /tenant2/api/b/ {
    proxy_pass http://api-b-service:8080/;
}
location /tenant2/api/c/ {
    proxy_pass http://api-c-service:8080/;
}

# 拦截非法请求，直接返回404（假装这个API不存在）
location /tenant1/api/c/ {
    return 404;
}
location /tenant2/api/a/ {
    return 404;
}

方案2：细粒度租户权限控制（不拆路由的选择） #

如果不想拆分路由，就在API服务端或管理平台做租户级的API可见性过滤，要做到三个环节都控死：

• 给每个API打租户标签：比如A标tenant1，B标tenant1,tenant2，C标tenant2
• 客户登录后，根据其租户ID做三层过滤：
  1. API列表返回：只给客户返回匹配其租户标签的API，无关的直接不显示
  2. 文档展示：文档页面只渲染当前租户能看到的API，完全隐藏其他API的内容
  3. 请求拦截：如果客户瞎猜路径请求了不属于自己的API，直接返回404（别返回403权限不足，不然等于告诉客户这个API存在）

比如在Spring Boot里用拦截器实现的核心逻辑：

@Component
public class TenantApiGuardInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        // 从请求头或Token里拿当前租户ID
        String tenantId = getCurrentTenantFromRequest(request);
        String apiPath = request.getRequestURI();
        
        // 检查当前API是否对该租户开放
        boolean isAllowed = apiMetaService.isApiAccessibleByTenant(apiPath, tenantId);
        if (!isAllowed) {
            // 假装API不存在，返回404
            response.setStatus(HttpServletResponse.SC_NOT_FOUND);
            return false;
        }
        return true;
    }
}

方案3：独立租户实例（极端隔离场景） #

如果对隔离要求特别高，比如担心任何可能的泄露，那就给每个租户部署独立的API库实例：

• 客户1的实例只打包A、B两个API，客户2的实例只打包B、C
• 每个实例用独立的域名、端口甚至集群，完全物理隔离
• 优点：绝对安全，没有任何泄露风险；缺点：运维成本会高一些，适合租户数量少、需求差异大的场景

为啥之前的多租户配置没搞定？ #

大概率是你只做了权限校验（返回403），而没做到隐藏API的存在。要实现完全隐藏，必须满足三个点：

• 对外展示的列表、文档里完全没有无关API
• 请求无关API时返回404，而不是权限错误
• 网关或服务端直接拦截，不让请求进入业务逻辑

内容的提问来源于stack exchange，提问作者Sourcerer