來自客戶端訪問API的AJAX請求的安全性

Question

假設您要第三方網站復制並粘貼您提供的javascript代碼段。 此代碼使用AJAX請求來訪問服務器上的JSON API。 您將如何實現安全性，以便在將API使用情況與已注冊並收到API密鑰的網站相關聯的同時，有效地禁止站點濫用另一個站點的API密鑰/使用情況？ 從客戶端不可能實現這種安全性嗎？ 網站是否必須從服務器訪問API？

Answer 1

您還可以在服務器站點上檢查請求的HTTP引薦來源網址。
我認為更改javascript代碼不會偽造它。
但是它不能阻止某人從自定義瀏覽器或某些http客戶端發送自定義程序包。

實施服務器端解決方案是可能的，而且不太困難，但是它將阻止許多站點使用您的腳本。
您可以讓他們從他們的服務器發送請求
或讓他們將密鑰保留在服務器上，在將密鑰發送給客戶端之前先對其進行哈希處理（哈希密鑰會在一段時間后發生變化）...

Answer 2

您可以只檢查window.location或其某些組件。

Answer 3

我能想到的加強安全性的唯一方法就是通過IP地址，但這充其量是有風險的，因為有很多原因會導致設計不佳。

這將是服務器端保護javascript文件的安全性。 您可能只是讓Web服務提供了javascript，因此它可以在將文件發送到客戶端之前進行檢查。