API網關通常會在收到請求后先檢查請求中是否包含Authorization頭部，如果包含則會解析該頭部中的認證信息，比如Token或者用戶名密碼。接著，API網關會根據認證信息驗證用戶的身份和權限，確定用戶是否有訪問該API的權限。
如果用戶沒有權限訪問該API，API網關會返回401 Unauthorized錯誤響應。如果用戶有權限訪問該API，API網關會將請求轉發給后端服務，并在轉發請求時攜帶認證信息。這樣后端服務就可以根據認證信息來驗證用戶身份和權限，確保請求的合法性。
另外，API網關還可以對認證信息進行統一管理和驗證，比如集中存儲用戶信息和權限信息、對Token進行驗證和刷新、限制請求頻率等。這樣可以提高系統的安全性和可維護性。
