返回gangwu的回答
API 网关通常都内置有安全模块负责安全访问控制，比如IBM API 网关DataPower内置的AAA , ACL等。这些安全访问控制包括黑白名单（ACL), 身份认证和授权等。而这些安全访问控制通常都是以安全策略（Security Police）的形式，由API管理模块定义发布到安全网关上面的。比如IBM API Connect中的API Manager可以让API Developer选择配置安全策略，比如用API Key/API Secret认证还是OAuth认证等。这些安全策略也会体现在API的描述Swagger的security section.