网关中的身份验证-API级别的授权

Question

以下情况需要设计建议： 假设有2个应用程序（两个应用程序都有自己的UI和后端API）。我们希望对这些应用程序的请求进行身份验证和授权。

我们要构建第三个应用程序，该应用程序充当身份验证+网关服务器，并在API级别保留授权。 现在的问题是，在API级别进行授权还是在Gateway服务器中进行授权更好？

请注意，我们要求将来可能会有更多的应用程序出现，并且应该适合该模型。

编辑1：应用之间也需要进行内部通信。即App1可能需要App2服务。在这种情况下，如何完成授权。