swagger添加权限验证保证API（接口）安全性(两种方法)

Swagger是一个API文档化工具，它可以让我们更加方便地使用和管理接口文档。在API开发过程中，保证接口的安全性非常重要。下面将详细说明两种方法来添加权限验证，保证API的安全性。

方法一：使用Swagger-UI的ApiKeyAuth

Swagger-UI提供了一个简单的ApiKey验证功能，而ApiKey是一个预共享的API密钥。在Swagger配置中，通过securityDefinitions属性来添加ApiKey验证。下面是一个例子：

swagger: '2.0'
info:
  title: My API
  version: 1.0.0
securityDefinitions:
  ApiKeyAuth:
    type: apiKey
    name: Authorization
    in: header
paths:
  /myapi:
    get:
      security:
        - ApiKeyAuth: []
      responses:
        '200':
          description: OK

在上面的例子中，我们添加了一个securityDefinition，这个定义包含了ApiKey的验证信息。我们在paths中使用这个定义来添加安全性要求。在这个例子中，我们要求所有GET请求都必须提供ApiKey验证，否则会返回401的错误。

使用上述代码后，我们打开Swagger-UI就会自动要求输入ApiKey。这种方法虽然简单，但是缺点是ApiKey共享度太高，容易造成泄密，从而导致API安全性降低。

方法二：使用OAuth2验证

OAuth2验证是更加安全的一种验证方法，它使用了token进行验证。下面是一个具体实现：

swagger: '2.0'
info:
  title: My API
  version: 1.0.0
securityDefinitions:
  OAuth2:
    type: oauth2
    authorizationUrl: https://example.com/oauth/authorize
    flow: implicit
    scopes:
      read: 读取资源
      write: 写入资源
paths:
  /myapi:
    get:
      security:
        - OAuth2: [read]
      responses:
        '200':
          description: OK
    post:
      security:
        - OAuth2: [write]
      responses:
        '200':
          description: OK

在上面的例子中，我们使用了OAuth2验证。我们的Swagger文档定义有一个securityDefinition，这个securityDefinition使用了OAuth2鉴权方式，使用的是implicit模式。

当我们在使用GET方法获取/myapi时，需要提供read权限。当我们使用POST方式来将数据写入/myapi时，需要提供write权限。

在另一个例子中，我们可以看到如何更细粒度地定义权限：

swagger: '2.0'
info:
  title: My API
  version: 1.0.0
securityDefinitions:
  OAuth2:
    type: oauth2
    authorizationUrl: https://example.com/oauth/authorize
    flow: implicit
    scopes:
      read: 读取资源
      write: 写入资源
paths:
  /myapi:
    get:
      security:
        - OAuth2: [read, write]
      responses:
        '200':
          description: OK

在上述例子中，我们在GET中允许了write，并且在POST中也允许了write。从而是仅允许了在GET中的读操作，更加精细地控制了权限，提高了API的安全性。

两种方法各有优缺点，需要根据实际情况进行选择。需要注意的是，无论使用哪种验证方法，都需要及时更新验证信息，保证API的安全性。