保护JavaScript API

Question

我目前正在开发一个小型JavaScript库，该库向REST Web服务发出请求。 由于服务器端需要记录传入的请求以衡量请求的数量，因此我想以某种方式保护它。 该库与Google Maps API非常相似。 所以我的问题是，现在是否有某种方法可以比仅向库请求中添加API密钥更好地保护它？ 如果可能的话，如何确保只有“正确的”客户才使用密钥？ 我想我可以将引荐来源网址与一组有效网址进行比较，但这可以被欺骗吗？ 请记住，无法使用其他身份验证方法（facebook，google，twitter等），因为它必须在没有用户输入的情况下工作。

干杯，丹尼尔

Answer 1

一种不错的RESTful方法是要求客户端提供一个Authorization标头，以匹配服务器将接受的某些方案（请参阅基本访问身份验证作为示例）。 鉴于您只希望验证自己的客户是发出请求的客户，因此您可能不需要太复杂的授权机制。