作者：林 | 系列：API 鉴权实战 | 适合读者：Java 后端/架构师

本文代码使用 Lombok 简化 POJO，所有 getter/setter/builder 均由 Lombok 自动生成。

<!-- pom.xml -->
<dependency>
    <groupId>org.projectlombok</groupId>
    <artifactId>lombok</artifactId>
    <scope>provided</scope>
</dependency>

一、背景：为什么要做 API 鉴权

对外暴露 API 时，两个核心问题绕不开：

1. 调用方是谁？（认证，Authentication）
2. 他能做什么？（授权，Authorization）

简单的内部系统可能用一个 API Key 就够了。但当系统开始支持多租户、第三方接入、AI 开放平台、文件上传、额度控制时，单一的鉴权方式撑不住。你需要一套完整的体系：从密钥管理到权限判断，从缓存设计到上下文传递。

本文从更基础的 API Key 讲起，逐步构建到 PDP 策略决策点，把认证授权的全链路打通。

二、五种鉴权方式详解

2.1 API Key

原理： 给每个调用方分配一个唯一的密钥字符串，请求时放在 Header 里，服务端查库校验。

适用场景： 内部服务间调用、快速原型、低安全要求的公开 API。

不适用场景： 对外开放的 API，API Key 是静态的，明文传输，一旦被截获攻击者就能冒充调用方。