当服务受API密钥保护时，如何使Swagger/Postman插件工作

Question

在我的ServiceStack web服务中，我有一个全局请求过滤器，用于检查头部是否存在API密钥（X-FooKey），该检查防止加载Swagger/Postman UI。我通过检查dto类型并将其与邮递员的dto进行比较，为邮递员创建了一个可怕的黑客程序，同样，它不是很健壮。另一方面，大摇大摆是一团糟，我真的不想模仿我对邮递员的做法，所以我愿意接受建议。

最终，我希望两个插件都能够自动提供密钥，但这很可能需要PR，考虑到我的时间限制，这是不现实的。

谢谢你斯蒂芬

Answer 1

在我们当前的项目中，我们遇到了相同的问题。我们将swagger插件用于servicestack，并为API密钥提供自定义请求头。我们通过编辑swagger ui/index.html很容易解决了这个问题。缺点是不能让nuget更新文件，也不能手动合并。

使用api键的额外输入扩展html表单

<form id='api_selector'>
    <div id="login-logout">
        <div class='input'><input placeholder="api_key" id="input_apiKey" name="apiKey" type="text" /></div>
        <div class='input'><input placeholder="username" id="input_username" name="username" type="text" /></div>
        <div class='input'><input placeholder="password" id="input_password" name="password" type="password" /></div>
        <div class='input'><a id="login" href="#">Login</a></div>
    </div>
</form>

在javascript片段中更改apiKeyName：

window.swaggerUi = new SwaggerUi({
    apiKey: "",
    apiKeyName: "x-fookey"
});

然后编辑登录功能：

$('#login').on('click', function (event) {
    event.preventDefault();

    var apiKey = $('#input_apiKey').val();
    var username = $('#input_username').val();
    var password = $('#input_password').val();

    $.ajax({
        url: '../api/auth/credentials',
        type: 'POST',
        data: {
            UserName: username,
            Password: password
        },
        beforeSend: function (xhr) {
            xhr.setRequestHeader('X-FooKey', apiKey);
        }
    });
});

在我们的API中，我们只需要登录请求上的apikey标头。要将其添加到每个请求中，请参阅此SO问题：如何让Swagger将API密钥作为超文本传输协议而不是在URL中发送