認証方式の使い分け

APIキー は最もシンプルな認証方式です。発行されたキーをリクエストに付けるだけですが、キー自体が漏洩すると誰でもなりすませてしまう 漏洩リスク があります（Webセキュリティトラックの秘密情報管理と直結します）。

OAuth は「認可の委譲」を実現する仕組みです。「このアプリに、あなたのGoogleアカウントの情報へのアクセスを許可しますか？」というあの画面がOAuthです。パスワードそのものを渡さずに済みます。

JWT（JSON Web Token） は署名付きのトークンで、改ざんを検出できます（認証・認可トラックで学んだ「失効の難しさ」という弱点も持ちます）。

選び方の目安: 社内向けの単純なAPI連携なら APIキー、外部サービスとの連携で「ユーザーの代わりに操作する」なら OAuth、自前のログインシステムで状態を持たせたくないなら JWT、という具合に用途で選びます。