API Key、OAuth、JWT，身份與授權怎麼選

API Key 放錯位置、OAuth Token 沒有 refresh、JWT 沒有驗簽，這些錯誤都會讓 API 直接拒絕你。搞混三種機制的下場，永遠是一個又一個的 401。這一課把認證和授權兩件事分清楚，也把三種機制的使用場景整理成一張決策樹。

這一節也是後面 OAuth 實作與 Webhook 驗證的基礎，先把觀念打穩，後面的實作課才不會一頭霧水。

認證與授權：兩件不同的事

認證（Authentication）：確認你是誰，例如這個 API Key 是屬於哪個帳號。授權（Authorization）：確認你能做什麼，例如這個帳號有讀取的權限，但沒有刪除的權限。英文常縮寫成 AuthN 和 AuthZ。

三種機制總覽

API Key：最簡單也最危險

API Key 是一個長字串，代表你的身份，就像密碼，但通常只給程式用，不給人輸入。

# .env 檔案，不能 commit 到 Git
OPENAI_API_KEY=sk-proj-abc123...

# Python 程式裡，從環境變數讀取
import os
from dotenv import load_dotenv

load_dotenv()
api_key = os.getenv("OPENAI_API_KEY")

# 放在 Header 裡傳給 API
headers = {"Authorization": f"Bearer {api_key}"}

# 或某些 API 用自訂 Header
headers = {"X-API-Key": api_key}

OAuth 2.0：讓使用者授權，不交出密碼

OAuth 解決的問題是：讓使用者授權你的 App 存取他在其他平台的資料，但不需要把密碼交給你的 App。Google 登入、GitHub 登入背後都是 OAuth 2.0。

1. 使用者點用 Google 登入，你的 App 把使用者導到 Google 的授權頁面。
2. 使用者在 Google 的頁面上同意授權，Google 把一個 Authorization Code 傳回你的 App。
3. 你的 App 用這個 Code 向 Google 換取 Access Token，也就是代表使用者的通行證。
4. 用 Access Token 呼叫 Google API，取得使用者資料，例如名稱與 Email。
5. Access Token 過期後，用 Refresh Token 換新的，不需要使用者重新登入。

JWT：帶著走的身份證

JWT（JSON Web Token）是一個可以驗證真偽的 Token，裡面帶著身份和權限資訊，不需要查資料庫就能驗證，速度快。

# Header，演算法說明
{"alg": "HS256", "typ": "JWT"}

# Payload，帶著的資訊
{"sub": "user_123", "name": "Joan",
 "role": "admin", "exp": 1756339200}

# Signature，防偽簽名，用 secret 算出來的
HMACSHA256(base64(header) + "." + base64(payload), secret)

什麼場景用什麼：決策樹