公司有一系列接口准备开放出去给第三方调用，聚合数据那样的接口，当然了需要申请一个key，进行访问统计和频率控制。

这些服务由于历史遗留问题，很多服务都已经部署并运行很长时间了，有的是同一个java web app下不同的路径，有的压根就是不同的web app。

现在不是很清楚主流的授权+验证机制是个什么样子，有几个疑问：

1 授权

一般授权的话会生成一个key，但是这个key怎么跟服务绑定？为保证唯一性，一般跟服务id绑定，但是在验证的时候，可以根据key查到所有绑定的合法的服务id，但是怎么判断当请正在请求的这个服务跟某个合法的服务就是同一个？

2 验证

验证我个人觉得是不适合放到每一个服务都去验证一边的，希望有个中间层在所有服务的前面拦截，但是不知道技术上是否可行？因为前面提到了，这些接口有的是运行在同一个web app下，看这里：
http://www.domain.com/open/weather
http://www.domain.com/open/sms

有的是不同应用，看这里：
http://www.domain.com/anotherapp/api/mail
http://www.domain.com/thirdapp/news

不知道有没有类似 ASP.NET下的HttpModule那样，可以针对整个网站、应用、目录做过滤的方法。

多少有点乱，如果不清楚，请问我。