37 从API Key到JWT：给RT-DETR推理服务加上身份认证的铠甲上一篇文章我们给推理API加上了限流熔断，挡住了恶意流量洪峰。但你有没有想过——限流只能控制频率，却挡不住拿着合法API Key的爬虫疯狂调用？上周我帮一家安防公司排查问题，发现他们的RT-DETR推理服务CPU被打满，一查日志，某个客户的API Key在10分钟内调用了3万次，而他的套餐上限是1000次/天。更可怕的是，这个Key被泄露到了GitHub上。“限流是守门员，认证才是大门锁。”今天我们就来给推理API装上JWT（JSON Web Token）认证系统，让每个请求都带着“身份证”进来。痛点拆解：API Key认证的三大致命缺陷先看看大多数人怎么做的——直接用API Key做认证：# 反例：API Key直接验证（有严重安全漏洞）fromflaskimportFlask,request,jsonifyimport