使用哪种护照策略来保护API

Question

我在客户端使用hello.js。我有一个表达的api，我只希望响应在标头中包含有效访问令牌（microsoftlive）的请求。我要使用哪种护照？有这么多，有点压倒性的。