为什么 Http 引荐来源网址（网站限制）在我的网站上不起作用？

Question

我有一个 Nodejs 网站，我在 heroku 上托管。

假设我的网站名为my-heroku-site.herokuapp.com （当然，这只是一个示例）。 在这个应用程序中，我需要使用 Places API。 我需要 Places Photos，但我认为我不能通过 IP 限制来限制这个 api 键。 IP 限制适用于后端，但据我所知，应在客户端使用放置照片。 如果我错了，请纠正我。

因此，我尝试了这些列表以仅允许来自这些 URL 的 api

• my-heroku-site.herokuapp.com
• 我的heroku-site.herokuapp.com/*
• https://my-heroku-site.herokuapp.com
• https://my-heroku-site.herokuapp.com/ *

他们都没有工作。 它们都在控制台中显示 403 错误。 当我将限制更改为无时，它们会起作用，但我不这样做，因为那很危险。

当然，我什至不能*.herokuapp.com因为这意味着所有 heroku 用户都可以在他们的 heroku 用户中使用我的 api 密钥在他们的 Z30349Z78BBAAA497 站点中。 这也是危险的。 现在陷入这个问题3天了:(