API认证授权是接口安全的第一道防线。选错认证方案会给后续开发和维护带来巨大麻烦。目前主流方案有OAuth2.0、JWT、Session-Cookie和API Key四种，各有适用场景。本文从安全性、易用性、性能和扩展性四个维度对比分析。
OAuth2.0授权框架
OAuth2.0不是认证协议而是授权框架，它定义了四种授权模式：授权码模式、简化模式、密码模式和客户端凭证模式。授权码模式最安全，适用于第三方应用接入。密码模式适用于第一方应用，但需要客户端信任。客户端凭证模式适用于服务间通信。OAuth2.0的优势是细粒度的权限控制和令牌刷新机制，缺点是实现复杂度高，需要授权服务器支持。
JWT无状态认证
JWT将用户信息编码在令牌中，服务端无需存储会话状态。JWT包含Header、Payload和Signature三部分，Signature用于防篡改。JWT的优势是无状态、跨域友好、适合移动端。但JWT的缺点是令牌一旦签发就无法撤销，只能等待过期。解决方案是配合黑名单或短过期时间加刷新令牌。JWT的Payload不要存放敏感信息，因为Payload只是Base64编码而非加密。
Session-Cookie传统方案
Session-Cookie方案利用服务端存储会话状态，客户端通过Cookie传递Session ID。实现简单，会话可随时撤销，适合传统Web应用。但跨域支持差，移动端处理Cookie不方便，服务端存储压力大。分布式部署时需要集中存储Session，如使用Redis。此方案适合内部系统或传统单体应用，不适合开放API平台。
API Key简单认证
API Key是最简单的认证方式，适合服务端到服务端的接口调用。每个客户端分配一个唯一的Key，通过请求头或查询参数传递。API Key不涉及用户身份，只标识调用方身份。配合Secret签名可以提升安全性。适合公共API的访问控制，如天气API、地图API等。缺点是没有用户概念，不能做细粒度权限控制。