鉴权几种方式

Cookie + Session
在服务端会生成一个 session 来保持会话状态，各个 session 是通过唯一的 session_id 来标识，以次来判断请求是那个客户端发起的，session_id 存储在客户端的 cookie 中，后续所有的请求都会把 cookie 传到服务端，服务端解析 cookie 后找到对应的 session 进行判断.

API Key + API Secret
这种模式并不是RBAC(角色权限控制)，而是 ACL(Access Control List: 访问控制列表) 访问控制。这种方式实现简单，占用的计算资源和网络资源都较少，安全性也可以。但是一般来说每一个 api 都需要分配一对 Key 和 Secret，因此当 Key 和 Secret 比较多的时候，服务器会有一定的存储成本，而且服务端只能通过 API Key 来区别调用者，API Secret 一旦泄露将造成较大的安全风险。这种模式一般适用于 Web API.为了避免重放攻击，会加上时间戳参数，服务单验证时如果时间超过允许范围则验证失败。

JWT

OAuth2