API网关通常会在收到请求后先检查请求中是否包含Authorization头部，如果包含则会解析该头部中的认证信息，比如Token或者用户名密码。接着，API网关会根据认证信息验证用户的身份和权限，确定用户是否有访问该API的权限。
如果用户没有权限访问该API，API网关会返回401 Unauthorized错误响应。如果用户有权限访问该API，API网关会将请求转发给后端服务，并在转发请求时携带认证信息。这样后端服务就可以根据认证信息来验证用户身份和权限，确保请求的合法性。
另外，API网关还可以对认证信息进行统一管理和验证，比如集中存储用户信息和权限信息、对Token进行验证和刷新、限制请求频率等。这样可以提高系统的安全性和可维护性。