没想过实际经验。

想想，应该要… 加密解密 or 凭证验证？

你可以看下我的加密解密类。

接口加一个用于验证的参数

可以参考restify自带的插件，实现了基本的密码验证和调用次数限制。

node的话好办，整个server都是自己写，爱怎么限制都行。

API 用户用指定的token，再对token使用做记录和限制。

加 token

token从路由器上截获以后，加上继续调用

session控制。if(!session) res.end();

第三方的调用应该是在你的node端。前台调用你的node端，然后你的node端调用第三方。。。

token绑定域名

加token，并对token做次数和时效限制