如何使 REST 通话安全

Question

我正在使用 JSON/JS/jquery 的 REST 方法调用 Web 服务，我想知道是否有一种方法可以调用 Web 服务而不在源代码中暴露我的 API 键。 有谁知道向公众隐藏 API 密钥并仍然拨打电话的方法？

我担心如果有人通过我的来源，他们将能够使用我的 API 密钥。

Answer 1

您可以将调用委托给您自己的服务器，而不是：

1. 浏览器向外部 REST API 发送 HTTP 请求，使用 ZDB974238714CA8DE634A7CE1D083A 密钥
2. 外部 REST API 向浏览器发送响应

你有

1. 浏览器向您的服务器发送 HTTP 请求
2. 您的服务器将 HTTP 请求发送到外部 REST API 请求，带有 ZDB974238714CA8DE144A7CE1DZFZFZA 密钥
3. 外部 REST API 向您的服务器发送响应
4. 您的服务器向浏览器发送响应

---

不过，我不确定其他人“窃取”您的 API 密钥是一个大问题，因为 API 密钥（例如 Google）经常与特定域相关联。

Answer 2

没有办法将 API 密钥发送给客户端，并让它们可用，并且不会暴露它们。 您更可能想要的是有一个翻译层，您可以在其中允许外部（未验证）客户端向暴露的端点发出请求，然后使用某种逻辑来验证请求，然后传递请求。

API 密钥通常供您作为合作伙伴使用，而不是用于分发； 这是避免分发它们的方法。