http://nordicapis.com/token-design-better-api-architecture/
看了這篇大概也有幾種做法
條條大路通羅馬，取決於你設計。
我個人傾向先決定好商業模式和UI UX
再決定什麼技術和架構
及基本物件的類型。
說到這我覺得原po給的問題太發散
有些api本來就是給人打來用
若特殊廠商需要使用
我們甚至要求對稱式金鑰才能使用
（現在大部分是非對稱，從server端發token)
哪一種金鑰技術有他的使用和方法
結論，要什麼方法設計，還是要看你的商業模式。