這篇文章要教你如何透過權限控管，保護 FastAPI 生成的 API 文件，讓使用者需要經過授權才能進去

FastAPI 是一個 Python 的後端框架，具有自動生成 API 文件頁面的特色，幫助開發者可以快速開發並測試 API。

然而，這些文件會隨著伺服器的部署，一同被公開到網路上。如果你想要避免閒雜人等進入 API 文件，可以參考以下的步驟：

1. 關閉預設 API Docs

透過在創建 App 時加上以下變數，可以關閉預設 API 文件功能。

from fastapi import FastAPI
app = FastAPI(docs_url=None, redoc_url=None, openapi_url = None)

2. 新增 HTTP Basic Auth 帳號密碼驗證

透過下列程式，我們新增一個驗證物件供 API 使用。
只要在建立 API 時加上這個物件，就會需要經過帳號密碼驗證才能使用該 API

import secrets
from fastapi import Depends, FastAPI, HTTPException, status
from fastapi.security import HTTPBasic, HTTPBasicCredentials


security = HTTPBasic()

def get_current_username(credentials: HTTPBasicCredentials = Depends(security)):
    correct_username = secrets.compare_digest(credentials.username, "user")
    correct_password = secrets.compare_digest(credentials.password, "password")
    if not (correct_username and correct_password):
        raise HTTPException(
            status_code=status.HTTP_401_UNAUTHORIZED,
            detail="Incorrect email or password",
            headers={"WWW-Authenticate": "Basic"},
        )
    return credentials.username

3. 成立文件後台的 API 並加上驗證機制

我們手動撰寫生成文件後台與 OpenAPI.json 的 API 並加上授權驗證

from fastapi.openapi.docs import get_swagger_ui_html
from fastapi.openapi.utils import get_openapi

@app.get("/docs", include_in_schema=False)
async def get_documentation(username: str = Depends(get_current_username)):
    return get_swagger_ui_html(openapi_url="/openapi.json", title="docs")


@app.get("/openapi.json", include_in_schema=False)
async def openapi(username: str = Depends(get_current_username)):
    return get_openapi(title = "FastAPI", version="0.1.0", routes=app.routes)

4. 完成，運行服務並至 /docs 登入查看文件

如果依照上面的範例，帳號是 user，密碼是 password，請視情況更改帳號密碼，或運用環境變數、設定檔導入。

成功的話你會看到如下圖的畫面

完整程式碼