如何只允許我的SPA調用我的公共休息API？

Question

我在my-example-domain.com上發布了一個SPA（基於角度），在my-example-domain.com/api上公開了rest API（基於Laravel 5.3）。 所有API都是公開的，因此未經身份驗證的用戶可以使用我的Angular SPA並調用后端API。

我只想允許我的SPA調用我的后端rest API，因此，例如，任何人都不能通過rest客戶端/ curl調用我的rest API。

我如何達到這個目標？ 我必須在Laravel應用中設置哪種身份驗證？ 護照正確嗎？

Answer 1

你不能

您的客戶對公眾開放。

它運行在瀏覽器中，因此它的用戶（即每個人）都可以檢查它發出的所有HTTP請求。

您嘗試將請求標識為來自客戶端的任何操作，任何人都可以檢查和復制。