身份验证和授权

• **知识（Knowledge）**：只有少数人知晓的信息，例如“你母亲的娘家姓是什么？”或“你最喜欢的电影是哪一部？”

API密钥适用于仅有少量端点的简单API，因为它们通常提供全有或全无的访问权限。它们特别适合第三方服务，其中API调用由其他应用程序在后台内部发起，即由后端的其他开发者构建。例如，一个根据当前天气状况渲染视频背景的Web应用，可能在后端使用API密钥向天气服务发起API请求，然后将视频类型返回给前端用户。

使用会话时，所有信息都存储在服务器端。发送给客户端的仅是一个单一、不透明且轻量级的UUID，不会泄露任何关于会话上下文或关联用户的信息。这使得开发者能够轻松地查询、审计、更新和删除会话信息。然而，这也意味着每次认证请求都需要进行数据库查询或缓存检查，可能会引入延迟。