API Key vs Public Key vs Private Key：区别详解（2026）

API Key 是一个简单的密钥字符串，用于向 API 标识调用者身份。它就像一张会员卡——每次请求时出示，服务器在数据库中核对。API Key 通常放在请求头（如 Authorization: Bearer sk-xxxx）或查询参数中传递。

API Key 使用简单，但有一个弱点：任何拿到 Key 的人都能使用。它没有加密身份证明。最适合服务器到服务器的通信场景，Key 保留在你的后端。

公钥加密（非对称加密）使用一对数学关联的密钥：公钥和私钥。公钥可以公开分享；私钥必须保密。用公钥加密的数据只能用私钥解密，反之亦然。

这是 TLS/HTTPS、SSH、数字签名和区块链的基础。密钥对通常使用 RSA 或 ECC 等算法生成。与 API Key 不同，密钥对可以以加密方式证明身份——你可以用私钥对消息签名，任何人都可以用你的公钥验证。

API Key 是持有者令牌——拥有即授权。它不成对出现，不能加密数据或创建签名。它只是一个存储在供应商数据库中的密钥字符串。

私钥则相反，它是加密密钥对的一部分。你永远不会把它发给任何人。你在本地用它签名或解密。API Key 每次请求都要发送，而私钥永远不会离开你的机器（或 HSM）。

安全性方面，API Key 是三者中最弱的。一旦泄露，可被立即滥用。轮换 API Key 需要在所有使用的地方更新。

公钥可以安全分发——这正是它的用途。私钥最敏感——私钥泄露会破坏整个信任模型。私钥的最佳实践：存储在 HSM 或硬件密钥中，不要以明文文件保存。

对第三方服务的认证（AI API、支付网关、云服务）使用 API Key。安全通信（HTTPS、SSH）、数字签名（代码签名、文档签名）和区块链交易使用公私钥对。

有些系统将两者结合：mTLS 用密钥对认证连接，然后用 API Key 授权该连接内的具体操作。这种分层方式比单独使用 API Key 安全性更高。