如何在IBM ApiConnect中为不同路径配置不同安全策略？

我来帮你搞定这个API安全配置的问题，你的核心需求是让指定路径开放、另一路径需要双密钥认证，原YAML的问题主要出在安全规则的结构上，下面是修正后的方案：

原配置的核心问题 #

你的API级security段语法有误，需要把client_id和client_secret组合成同一个安全要求组，这样API Connect才会要求请求同时提供这两个密钥；另外虽然你给开放路径加了security: - {}，但原安全规则的错误会导致受保护路径的验证逻辑失效。

修正后的完整YAML配置 #

swagger: '2.0'
info:
  title: Your API Title
  version: 1.0.0

# API级安全定义
securityDefinitions:
  client_id:
    type: apiKey
    description: Client ID header authentication
    in: header
    name: X-Client-Id
  client_secret:
    type: apiKey
    description: Client Secret header authentication
    in: header
    name: X-Client-Secret

# 默认安全策略：所有路径默认需要同时验证Client ID和Secret
security:
  - client_id: []
    client_secret: []

# 路径定义
paths:
  /callback/sign:
    get:
      responses:
        '200':
          description: 200 OK
      # 覆盖默认安全策略，设为开放API
      security:
        - {}
    post:
      responses:
        '200':
          description: 200 OK
      parameters:
        - name: body
          required: false
          in: body
          schema:
            type: object
      # 同样设为开放API
      security:
        - {}
  /services/products:
    get:
      responses:
        '200':
          description: 200 OK
      # 继承API级默认安全策略，无需额外配置（也可以显式写出安全规则）
      # security:
      #   - client_id: []
      #     client_secret: []

关键配置说明 #

• 安全定义：明确两个apiKey类型的安全方案，分别对应请求头里的X-Client-Id和X-Client-Secret。
• API级安全规则：用一个数组元素包含两个密钥要求，这是实现双密钥同时验证的核心，确保所有路径默认都需要认证。
• 开放路径配置：在/callback/sign的GET、POST方法中，通过security: - {}取消默认安全策略，让这个路径变成无需认证的开放接口。
• 受保护路径配置：/services/products没有额外配置security，会自动继承API级的安全规则，只有携带正确的双密钥请求头才能访问。

额外注意点 #

测试时可以用API Connect内置的测试工具验证：开放路径无需加任何认证头就能返回200；受保护路径必须同时携带X-Client-Id和X-Client-Secret才能通过验证。

内容的提问来源于stack exchange，提问作者Neo1975