API网关认证鉴权终极指南：JWT/OIDC/Key-Auth/mTLS 生产级配置全解析

这篇是网关系列的压轴长文。从单体 JWT 到统一认证中心，从 API Key 到双向 TLS，全链路打通。建议先收藏，慢慢消化。前言认证和鉴权，是 API 网关最核心的两大职责之一。“认证"回答"你是谁”，“鉴权"回答"你能干什么”。这六个字说起来简单，落地起来坑多得数不清：JWT Token 过期了怎么无感刷新？多系统之间怎么共享登录态？对外暴露的 API 怎么管控调用方？金融级的双向 TLS 怎么配置？这篇文章，我用一个真实的架构演进路线，把四个核心认证方案逐一讲透。本文用"网关 G"代称，所有配置均为 demo 化参数。一、架构演进总览阶段一：单体应用 App → 后端（自己管认证） 阶段二：微服务拆分 App → 网关（JWT 验证）→ 后端（只读 user_id） 阶段三：多系统接入 App → 网关（统一 OIDC）→ 后端 A / 后端 B / 后端 C ↑ 认证中心（单点登录） 阶段四：对外开放 + 安全加固 内部调用：OIDC 外部调用：Key-Auth 金融场景：mTLS我们按这个演进顺序，逐一展开。二、JWT 认证——微