使用 oauth token + apikey 调用 API 端点的令牌身份验证应该如何处理？

问：

在工作中，我们使用仪表板环境，该环境建立在 Zendesk 上，并由合作伙伴公司提供给我们。每个操作员都有自己的仪表板登录名（电子邮件/密码）。

登录后，我可以访问 API 设置（仍在仪表板中）并为自己创建新的 API 凭据，这会将我的“客户端 ID”和“客户端密钥”发送到我的电子邮件。

APIkey 在 API 设置中可见，并且对于整个仪表板是唯一的，而不是我的凭据所独有的。每个用户都会看到相同的 APIkey。

API 为与工单、产品、客户等相关的数据授予端点。

该 API 有一个单独的沙盒环境（不是仪表板的一部分），我可以在其中成功检索 oauth2 令牌并测试每个端点，从而检索所需的结果。

oauth2 令牌是通过将“客户端 ID”和“客户端密钥”发送到令牌终端节点（在本例中为 Amazon Cognito）来检索的，有效期为 60 分钟。

通过发送令牌和 APIkey 来调用终结点。（这似乎引起了我的一个朋友的困惑，我知道的太少了，不知道为什么）

假设我想构建一个完全独立（与仪表板）相关的应用程序，该应用程序将允许用户操作从工单中检索到的数据。您将如何处理身份验证？我当然可以使用我生成的“客户端 ID”和“客户端密钥”来命中令牌端点，并使用该令牌命中合作伙伴 API 端点。但是，如果我想与 2 位同事或 10 位同事共享应用程序怎么办？寻求帮助、指针、想法、最佳实践。