API key 和 token 有什么区别？

那些看似相似但其实大有不同的两个概念——API key和Token

相信很多小伙伴在编写代码时都碰到过这俩玩意儿，特别是在调用外部API的时候。都说API key是个“钥匙”，Token是个“令牌”，但是你知道它们到底有什么区别吗？

别着急，今天我就给大家捋一捋这两个东西的真正区别，顺便讲讲它们各自的使用场景，确保你下次写代码时能对它们了如指掌，不再迷茫。

命名的难度与重要性

其实有时候咱们会发现，很多技术名词的命名，确实让人“头大”。比如API key和Token，它们的命名看似很直观，但仔细想想，为什么一个叫“钥匙”，一个叫“令牌”呢？这不就是给程序员的命名难题么。这俩东西虽然名称很酷，但它们的功能和作用可大不相同。而且，它们在命名上容易让我们误会，尤其是当我们作为后端开发或者 API 设计者时，经常得弄清楚这些东西的细节，才能避免权限搞错、验证失败的尴尬局面。那我们就从定义开始，好好聊聊它们的区别吧。

API key 和 Token 的定义与区别

API key

简单来说，API key就是一种“钥匙”，它用来识别和授权某个应用访问API接口。每个API调用都会携带这个API key，基本上是固定的字符串，用来标识调用者的身份。

例子：比如，你要用Google Maps的API来获取地图数据，Google会给你一个API key，只要你在调用时附带这个key，就能拿到数据。
特点：
- 长字符串，通常由数字和字母组成。
- 一旦创建后，一直有效，直到你选择撤销或更换它。
- 权限通常是全局的，作用于整个API的访问。

import requests
# 使用API key发送请求
api_key = "your-api-key-here"
response = requests.get(f"https://api.example.com/data?apikey={api_key}")

Token

相比之下，Token则有点像一次性密码，通常用来代表一个用户的会话或者某个特定的权限。Token的生命周期是有限的，通常是用户登录或者权限验证成功后由系统动态生成的，并且它会包含有效期，过期后就不能再使用了。

例子：你登录一个网站时，网站生成一个Token，作为你的身份验证凭证，所有后续的请求都需要附带这个Token，系统会验证你的身份。如果你登出或者Token过期，Token就会失效。
特点：
- 通常较短，是一段动态生成的字符串。
- 生命周期通常较短，可能会有过期时间。
- 基于用户的角色或者权限，访问权限通常是有限的。

import requests
# 使用Token发送请求
token = "your-access-token"
headers = {
    "Authorization": f"Bearer {token}"
}
response = requests.get("https://api.example.com/protected", headers=headers)

生成方式的区别

这里的差异其实也挺大的。API key通常是你在开发者平台上创建的，创建后就能直接用。而Token则是在用户登录或者身份验证时动态生成的，生成后通常会带有过期时间。

API key 的生成方式

在服务提供商的控制台或者开发者平台上创建。
创建后可以设置权限、访问范围等，有时也可以设置过期时间，但一般情况下它不会像Token那样经常更新。

Token 的生成方式

在用户登录后，系统会根据用户信息生成一个Token。
通常会附带一个过期时间或者刷新机制，有时还会携带用户角色等信息。

权限范围的不同

API key

API key的权限通常比较固定，不会根据用户的身份或请求的内容变化。
它基本上是应用级别的权限，适合访问公共数据或者进行跨服务通信。

Token

Token的权限是基于用户的身份和角色来进行限制的，用户在登录之后，系统会根据用户的角色生成不同的Token，从而实现细粒度的权限控制。

安全性

这一点要特别注意，API key和Token的安全性差异比较明显。由于API key的生命周期较长，一旦泄露，攻击者可以持续利用它访问API接口，所以它的安全性相对较弱。而Token的有效期通常较短，即使泄露，攻击者也只能在短时间内利用它。

API key 安全性

如果API key泄露，可能会导致严重的安全问题。
特别是在没有进行适当加密的情况下。
一旦泄露，必须立即撤销密钥。

Token 安全性

Token通常有过期时间，即使泄露，也能在短期内失效。
可以通过刷新机制来延长有效期，减少泄露后的风险。

使用场景

API key

API key常用于服务器之间的通信，尤其是在访问公共数据或者集成第三方服务时，API key就能派上用场。
比如你调用一个天气API或者地图API，通常都需要用到API key。

Token

Token则多用于用户身份验证和权限管理，尤其是在Web应用中。
用户登录后，系统会生成一个Token来代表用户身份，所有后续的请求都需要携带这个Token，确保用户能够访问自己有权限的数据。

实际应用示例

API key 示例

假设你正在开发一个系统，需要访问一个外部的天气API。你可以去API提供商的控制台获取API key，然后在你的应用中使用它来调用天气数据。

import requests
# 获取天气信息
api_key = "your-api-key-here"
city = "Beijing"
url = f"http://api.weatherapi.com/v1/current.json?key={api_key}&q={city}"
response = requests.get(url)
weather_data = response.json()
print(weather_data)

Token 示例

假设你在开发一个需要用户登录的系统，用户登录后，你会为其生成一个Token，后续所有的请求都需要携带这个Token来验证身份。

import requests
# 用户登录获取Token
login_data = {
    "username": "user",
    "password": "password123"
}
login_response = requests.post("https://example.com/login", data=login_data)
token = login_response.json()["token"]

# 使用Token访问受保护资源
headers = {
    "Authorization": f"Bearer {token}"
}
response = requests.get("https://example.com/protected-data", headers=headers)
protected_data = response.json()
print(protected_data)

总的来说，API key和Token各有千秋，知道它们的区别后，我们就能在不同的场景下灵活使用，从而写出更安全、更高效的代码！

原文转载自：https://mp.weixin.qq.com/s/7uOXlM86Ip-UVaLRLk4nbg