Qual mecanismo fornece autenticação e autorização sem estado para chamadas de API REST?

Tokens OAuth 2 fornecem autenticação e autorização sem estado para chamadas de API REST. Eles são amplamente utilizados porque o servidor não precisa armazenar informações de sessão, tornando as APIs mais escaláveis. O cliente inclui o token em cada solicitação, e o servidor valida sua autenticidade e permissões. Chaves de API são mais simples, mas geralmente oferecem apenas autenticação, não autorização granular, e podem ser mais vulneráveis se expostas. Criptografia de certificado SSL/TLS garante a segurança da comunicação, mas não autentica o usuário ou autoriza o acesso à API. Autenticação de sessão baseada em cookie é com estado, exigindo que o servidor mantenha informações de sessão, o que é menos ideal para APIs RESTful escaláveis.