API鉴权常见方法详解
开发系统软件时，API接口的安全性至关重要。没有鉴权机制的接口就像敞开的大门，谁都能随意进出。常见的API鉴权方式各有特点，适用于不同场景。
1. API Key
最简单直接的方式就是API Key。用户在调用接口时，在请求头或参数中带上一串唯一密钥，服务端验证该密钥是否有效即可。比如天气服务接口，注册后获得一个key，每次请求都附带它。
GET /weather?city=shanghai&api_key=abc123xyz HTTP/1.1
Host: api.weather.com这种方式实现简单，适合对安全性要求不高的场景。但密钥容易泄露，且无法细粒度控制权限。
2. Basic Auth
HTTP Basic Authentication将用户名和密码拼接后进行Base64编码，放在请求头中传输。
Authorization: Basic dXNlcjpwYXNz虽然看起来加密了，但实际上Base64可逆，必须配合HTTPS使用。常用于内部系统或测试环境，不适合公开暴露的接口。
3. Token 鉴权（如JWT）
用户登录成功后，服务器生成一个Token返回给客户端，后续请求携带这个Token。JWT是其中广泛使用的一种格式，包含头部、载荷和签名三部分，可以自包含用户信息和过期时间。
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkJvYiIsImV4cCI6MTQ0MjQxMjAwMH0.xTqZ9PqyP7uUO8_3lE9-...JWT的好处是无状态，服务端不需要存储会话信息。但一旦签发，在过期前无法主动失效，需额外设计黑名单机制。
4. OAuth 2.0
当你看到“使用微信登录”“用GitHub账号授权”这类功能，背后基本都是OAuth 2.0在起作用。它允许第三方应用在用户授权的前提下获取有限的资源访问权限，而无需拿到用户的原始账号密码。
典型流程包括获取授权码、用授权码换Token、再用Token请求资源。虽然流程复杂，但安全性和灵活性更强，适合开放平台和多系统协作场景。
5. 签名机制（Signature）
某些支付接口或高安全要求的系统会采用签名方式。客户端将请求参数按规则排序，加上密钥进行哈希计算，生成签名随请求发送。服务端用同样方式验签。
GET /pay?amount=100×tamp=1712345678&sign=a1b2c3d4e5这种方式防篡改能力强，即使请求被截获，攻击者也无法伪造合法签名。缺点是实现较复杂，前后端需严格对齐算法细节。
如何选择合适的鉴权方式？
如果只是内部小工具，API Key足够；需要用户身份识别，JWT更合适；做开放平台对接，OAuth 2.0几乎是标配；涉及资金交易，建议结合签名机制增强安全。实际项目中，也常组合使用多种方式，比如用OAuth发JWT，再配签名防篡改。