Так давно уже

Это же тупо oauth2

Да?

Не понимаю в таком случае, как это сделано

Я же не буду чуваку jwt отдавать

Так так и надо же, под задачи

Ты в общем или тоже представитель JB?)

надо изучать детальнее что там

Да, мне именно хочется чью-нибудь реализацию посмотреть или статью прочитать, как делать и какие подводные.
И чёто не могу найти сходу :(

Вот максимально подробно тут - https://oauth.net/2/ но там много всего и читать придется долго

Я может тупой, но чёт про приватные токены не нашел инфу там

что такое приватные токены?

api key

Кстати, а ты искал как делают api key?

Примерно 100 строк (spring security), код показать не могу, NDA. Но вообще ничего сложного там нет.

Ну а в чем суть то

Мне код не нужен, абстрактно просто

API key привязывается к пользователю, фильтр по ключу (в хидере или ещё как) находит пользователя и прокидывает его уже дальше по цепочке.

Ну чёт сходу не нашел инфы.

Я в итоге, наверное, буду делать просто по-своему с обменом этого api key на jwt где-нибудь на gw.

Я так понимаю, что апи ключ надо хэшировать, поэтому наверное надо в контракте обязать передавать username + API key, чтобы сначала найти пользователя, а потом проверять с каким из хэшей матчится присланный ключ.

Ну и про время жизни жвт тоже не до конца очевидно.
Было бы проще сделать этот жвт вечным, так как он клиенту не отдается, и просто удалять его из базы при revoke или когда мы блокируем пользователя, но видимо это не совсем корректно.

Я поэтому и хотел какую-то статейку или код посмотреть чей-нибудь.

В ключе имя пользователя зашито что ли или как вы этого пользователя находите?