前端API令牌暴露

Question

我的问题很简单和一般：在调用RESTFUL API时，无论是我的还是外部API，将令牌暴露在前端是否常见？ 例如，在Google Maps API的文档中，他们建议使用以下代码：

<script src="https://maps.googleapis.com/maps/api/js?key=YOUR_API_KEY&callback=initMap"
    async defer></script>

您的API密钥在前端公开以供所有人查看的事实可以吗？ 我猜谷歌可以选择限制访问，这样可以解决这个问题，但是那些不提供该选项的其他服务呢？

将API调用保留在后端以保护我的令牌更好吗？ 我认为，将它们放在后端，不会是首选，因为它们无法异步获取数据

Answer 1

简而言之，是的，如果您可以在客户端系统上欺骗http referer标题，则可以在您的站点中使用其他API密钥。事实上，如果您拥有其中任何一个，您甚至可以完全满足他的配额。

1. 完全控制您的客户端浏览器（操纵它可能发送给谷歌服务器的HTTP标头）
2. 你拥有大量独特的知识产权地址（只有当你非常富有时才会尝试，只有你在生活中留下的动机就是清空他的配额xD）
3. Idk atm将告诉我是否了解更多内容或某人发表评论