在 React JS 中保護 API 調用

Question

我有一個 API，我想從我的前端發出請求，該前端是使用 React 構建的。 但是，我不希望任何人在我的代碼中看到 API 調用，因為如果有人只是打開檢查 window，那么他們可以看到 API 調用。 我考慮過可能會添加某種 header 作為請求中的身份驗證發送，但這也不起作用，因為如果您檢查站點，您只能看到代碼。

我該怎么做？ 我的 API 返回一個私鑰，我不能直接將它存儲在我的代碼中的變量中。

抱歉，如果這個問題沒有意義，但我感謝所有幫助。

Answer 1

默認情況下，您的前端代碼是不安全且可觀察的。 前端沒有秘密。 如果您的 API 返回只能由相應用戶訪問的機密數據，您將必須實施任何類型的身份驗證。

例如，用戶將提供密碼以調用 API，或者他之前登錄並獲得一個令牌（例如 JWT），他在每次驗證請求時發送該令牌。 然后每個請求都有一個用戶身份，您的后端可以決定是否允許用戶獲取該私鑰。

如果你真的想讓別人很難看到你的前端代碼，你的路由器可能會提供像“受保護的路由”這樣的功能，它需要這樣的令牌才能訪問你的應用程序的某些路由。 由於業務邏輯必須保留在后端，因此始終可以獲得前端代碼。