单体应用对接REST API的身份认证方案咨询

我们正在开发一款单体应用，包含以下核心组件：

• 前端：负责用户界面展示与交互
• 后端：处理AJAX请求管理及服务器端表单验证
• 任务守护进程：定期运行的循环执行进程

近期我们开发了一个REST API，用于集中部分核心功能，支持客户通过外部脚本访问。现在希望逐步让现有单体应用接入该REST API，但遇到了身份认证的难题——不清楚该采用何种方式让应用安全地访问API。

当前现状 #

• REST API采用手动生成的API密钥机制，仅允许特定授权用户访问
• 现有单体应用通过PHP Sessions管理用户身份认证

我的疑问 #

1. 是否应为所有应用用户生成专属API密钥，以此支持前端直接访问REST API？
2. 为应用前端设置一套独立于现有API密钥体系的专属认证方式，是否更为合理？

期待各位的建议与反馈，感谢帮助。

内容的提问来源于stack exchange，提问作者Mathieu