应用认证协议：REST API、MCP 服务器及其他

文章指出不存在通用最优认证协议，需按调用方（人、服务、AI Agent）、代表谁以及风险等级选择：内部脚本用 API Key 即可，消费级应用需 OAuth 2.0 与 OpenID Connect，远程 MCP 服务器则遵循特定的 OAuth 2.1 profile。文中区分认证与授权，并说明 OAuth 2.0 是委托授权协议、OpenID Connect 在其上增加认证层。

AI推荐理由 从认证（AuthN）与授权（AuthZ）的区分出发，梳理从 Basic Auth、API Key 到 OAuth 2.0 与 OpenID Connect 的选型，并重点说明远程 MCP 服务器现遵循的 OAuth 2.1 profile。对把 AI Agent 接入工具与数据的开发者有实用价值；属概念性综述，摘要未给出具体实现示例或安全测试结果。