3. 鉴权基础：Token、Session、API Key 三种常见鉴权方式对比与适用场景
在 Development 环境中，中间件拦截的核心任务是验证调用方的身份。Token、Session、API Key 是三种最基础的鉴权模式，理解它们的差异与适用边界，是设计安全拦截中间件的前提。
3.1 三种鉴权方式的核心机制
| 鉴权方式 | 凭证载体 | 状态管理 | 典型流程 |
|---|---|---|---|
| Session | Cookie（Session ID） | 服务端有状态 | 登录 → 服务端创建 Session → 返回 Session ID → 后续请求携带 Cookie |
| Token（JWT） | HTTP Header（Authorization: Bearer） | 客户端无状态 | 登录 → 服务端签发 Token → 客户端存储 → 每次请求携带 Token |
| API Key | HTTP Header / Query Parameter | 服务端有状态（Key 与权限绑定） | 注册应用 → 获取 API Key → 每次请求携带 Key |
关键区别：Session 依赖服务端存储会话状态；Token 将用户信息编码在凭证本身，服务端无需存储会话；API Key 本质是一个静态的、长期有效的身份标识，通常与具体用户或应用绑定。
3.2 三种方式的详细对比
| 对比维度 | Session | Token（JWT） | API Key |
|---|---|---|---|
| 安全性 | 较高（Session ID 随机生成，数据在服务端） | 中等（Token 可签名防篡改，但 payload 可解码，勿放敏感信息） | 较低（静态 Key 易泄露，需配合 IP/域名白名单） |
| 扩展性 | 差（Session 数据集中存储，水平扩展需共享存储如 Redis） | 好（无状态，服务端无需存储，天然支持分布式） | 好（无状态，服务端只需验证 Key 有效性） |
| 跨域支持 | 差（Cookie 受同源策略限制） | 好（通过 Header 传递，不受跨域限制） | 好（通过 Header 或参数传递） |
| 吊销能力 | 强（直接删除服务端 Session 即可） | 弱（Token 过期前无法主动吊销，需借助黑名单机制） | 强（服务端删除或禁用 Key 即可） |
| 适用客户端 | 浏览器 Web 应用 | 移动端、单页应用（SPA）、微服务间调用 | 服务间通信、第三方 API 调用、IoT 设备 |
Development 环境建议：在本地开发调试阶段，优先使用 API Key 或 Token 进行鉴权，避免 Session 对 Cookie 和浏览器环境的依赖，降低调试复杂度。
3.3 三种鉴权方式的适用场景
- Session 适用场景：传统服务端渲染的 Web 应用（如 Django Admin、Rails 应用），用户登录后需要维持会话状态，且服务端可以集中管理会话。
- Token（JWT）适用场景：前后端分离架构、移动端 App、微服务网关鉴权。Token 无状态特性适合分布式部署，且能携带用户角色、权限等声明。
- API Key 适用场景：服务间内部调用、第三方开发者接入、定时任务或脚本调用。API Key 简单直接，适合机器对机器的通信场景。
3.4 三种鉴权方式的交互流程对比
下图展示了三种鉴权方式在 Development 环境下的典型请求-响应流程，帮助理解中间件拦截时的验证逻辑差异。
3.5 Development 环境下的选择策略
在 Development 环境搭建鉴权中间件时，建议遵循以下选择原则：
- 优先使用 API Key：本地开发、单元测试、Postman 调试时，API Key 最简单直接，无需模拟登录流程。
- 微服务间调用使用 Token：如果 Development 环境包含多个微服务，使用 JWT 可以携带调用方身份和权限信息，便于链路追踪。
- 避免 Session 用于 API 调试：Session 依赖 Cookie 和浏览器上下文，在纯 API 调试场景下会增加不必要的复杂度。
安全提醒：即使是在 Development 环境，也不应将 API Key 或 Token 硬编码在代码中或提交到版本控制。建议使用环境变量或本地配置文件管理凭证。
3.6 三种鉴权方式在中间件中的拦截逻辑
中间件拦截的核心逻辑可以抽象为以下伪代码，展示了三种鉴权方式的验证入口差异：
# 中间件鉴权拦截伪代码
def auth_middleware(request):
# 1. 尝试提取 API Key
api_key = request.headers.get('X-API-Key')
if api_key and validate_api_key(api_key):
return allow_request()
# 2. 尝试提取 Token
auth_header = request.headers.get('Authorization')
if auth_header and auth_header.startswith('Bearer '):
token = auth_header[7:]
if validate_jwt_token(token):
return allow_request()
# 3. 尝试提取 Session
session_id = request.cookies.get('session_id')
if session_id and validate_session(session_id):
return allow_request()
# 4. 全部失败，返回 401
return deny_request(status=401)
Development 调试技巧：在中间件中加入日志输出，记录每次请求的鉴权方式和验证结果，便于快速定位鉴权失败原因。