WSO2配置外部JWT验证后仍允许无Token请求的问题排查

你当前仅配置了外部JWT签发方的JWKS签名验证规则，但未强制要求API请求必须携带有效JWT令牌，这是网关仍接受无令牌请求的核心原因。需补充以下配置步骤：

• 为目标API启用强制JWT认证
  进入API的运行时配置页面，找到安全设置模块：

  1. 将认证类型设置为JWT
  2. 勾选「需要认证」选项
  3. 保存配置并重新发布API

• 全局强制所有API启用认证（可选）
  若要让所有API默认拒绝无令牌请求，可修改deployment.toml添加如下配置：

  [apim.gateway]
  enforce_authentication = true
  

• 排查匿名访问规则
  检查目标API的订阅与角色配置，确保未设置允许匿名用户访问的权限规则，避免覆盖JWT验证要求

额外检查项：

• 确认配置的issuer name与外部JWT的iss声明完全一致（大小写敏感）
• 配置变更后重启网关服务，确保设置生效

内容的提问来源于stack exchange，提问作者Bence