【初阶·安全】如何构建 AI 应用的访问控制与身份认证防线：从 API Key 到 OAuth2/JWT 的纵深防御专栏：《AI 工程与安全深度实战》· 第11轮·第2篇核心痛点：AI 推理 API 几乎都暴露在公网、计费按 token 计价、调用成本极高，可为什么大量团队的"安全防线"仍然是一串裸的 API Key 贴在 GitHub README？为什么同一个密钥既能调用 GPT-4o，又能调用代码解释器，还能查看其它用户的对话记录？身份认证、访问控制、授权审计，在 AI 推理场景到底应该怎么分层构建？适配人群：初阶 AI 工程师 / 平台 SRE / 安全入门读者，已经完成本专栏初阶·云原生篇（K8S 对象模型、Pod/Service/Deployment、滚动发布与探针），即将进入安全篇的学习收获能力：建立"凭证 → 身份 → 权限 → 审计"的纵深防御心智模型；能区分 API Key、Basic Auth、JWT、OAuth2、OIDC、mTLS 六大机制的适用场景；能搭建最小可信的 AI 推理 API（JWT + RBAC + 限流 + 审计四件套）；理解 AI 场景下 Agent 身份、推理配额、计费归属等独有挑战一、技术背景与演进逻辑：为什么 AI 推理 API 是攻击者的首选目标1.1 AI 推理 API 与传统 Web API 的本质