API 安全与认证设计器

要解决什么问题

新 API 上线前，团队往往在「用 Bearer 还是 API Key」「JWT 里放哪些 claim」「微服务之间怎么传身份」上反复争论，却缺少一份能直接对照实现的清单。对象级授权遗漏、令牌验证不完整、Webhook 无签名校验，也是 OWASP API Top 10 里反复出现的事故类型。

技能如何工作

本技能按场景选认证模式：面向用户的应用走 OAuth 2.0 + JWT（Authorization Code + PKCE），M2M 用 Client Credentials，Webhook 用 HMAC-SHA256 签名头，高安全环境可组合 mTLS 与短生命周期 JWT。在此基础上会给出 OAuth 令牌端点的请求/响应要点，以及 JWT 头部（如 RS256）、声明负载与验证清单（iss/aud/exp/nbf、拒绝 alg: none、撤销列表）。

还会补充 RBAC 路由级权限、安全响应头、以及 API 密钥规范：prefix_base62 格式、SHA-256 哈希存储、轮换宽限期与创建时绑定作用域。对照 OWASP API 安全 Top 10 表格，逐项说明从所有权校验、速率限制到 CORS/HTTPS 的缓解措施，便于你在设计评审里逐条勾选。

设计交付后，技能会询问是否基于该安全方案继续出 API 设计；若已安装 API Designer 技能，可把安全输出作为输入衔接，否则仅完成安全层设计即可结束。

适用边界与注意点

输出是架构与规范层面的设计，不包含具体框架中间件代码或云厂商 IAM 控制台操作步骤。OAuth/JWT 细节需与你方身份提供商、密钥轮换策略对齐；表格中的模式是推荐起点，合规行业（金融、政务）可能还需额外审计与 mTLS 策略。