OAuth/API网关中Client ID与Consumer Key是否等同？API Key又如何？

Client ID 和 Consumer Key：同一概念的不同命名 #

• 这俩本质是同一个东西，只是不同OAuth版本的命名差异：
  • 在OAuth 1.0协议中，用来标识第三方客户端应用的标识符被称为 Consumer Key，通常会搭配对应的Consumer Secret一起使用。
  • 进入OAuth 2.0时代，这个标识符被重新命名为 Client ID，对应的密钥则叫Client Secret。
• 核心作用完全一致：让API服务端准确识别发起请求的第三方应用身份，是OAuth授权流程里的基础身份标识。

API Key：独立于OAuth的简易认证方案 #

• API Key是一套独立于OAuth体系的简单身份验证机制，没有复杂的授权流程。
• 它一般是由服务提供商生成的一串唯一字符串，客户端只需在请求的头信息或参数中携带这个Key，服务端通过校验Key的有效性来确认请求的合法性。
• 和前两者的核心区别：
  • 无需用户授权：API Key通常用于不需要用户个人权限的公开接口，或者是服务方给特定开发者分配的固定权限接口，不需要走OAuth的用户授权步骤。
  • 安全性层级不同：如果API Key泄露，攻击者可以直接冒充你的应用访问对应API；而OAuth的Client ID/Secret需要配合授权码、访问令牌等机制才能完成有效请求，风险相对更低。

内容的提问来源于stack exchange，提问作者cracker jack