保護JavaScript API

Question

我目前正在開發一個小型JavaScript庫，該庫向REST Web服務發出請求。 由於服務器端需要記錄傳入的請求以衡量請求的數量，因此我想以某種方式保護它。 該庫與Google Maps API非常相似。 所以我的問題是，現在是否有某種方法可以比僅向庫請求中添加API密鑰更好地保護它？ 如果可能的話，如何確保只有“正確的”客戶才使用密鑰？ 我想我可以將引薦來源網址與一組有效網址進行比較，但這可以被欺騙嗎？ 請記住，無法使用其他身份驗證方法（facebook，google，twitter等），因為它必須在沒有用戶輸入的情況下工作。

干杯，丹尼爾

Answer 1

一種不錯的RESTful方法是要求客戶端提供一個Authorization標頭，以匹配服務器將接受的某些方案（請參閱基本訪問身份驗證作為示例）。 鑒於您只希望驗證自己的客戶是發出請求的客戶，因此您可能不需要太復雜的授權機制。