如何防止apikey被盜？

Question

通過js使用API​​密鑰調用API時，通常採取了哪些措施來防止API密鑰被盜用？調用服務器端可能會更適合這種情況，但API調用需要完全通過js完成的場景呢？

Answer 1

我覺得你不行。如果API調用是從客戶端（例如Web瀏覽器）執行的，則用戶將能夠檢查傳出流量並查看API密鑰。在這種情況下，我可以考慮兩種解決方法：

• 向您的後端發出AJAX請求並在您的後端執行API調用。它可能會比較慢，因爲會執行兩個http請求，但客戶端永遠無法訪問祕密API密鑰。

• 如果您可以控制API後端，請修改身份驗證策略以避免使用單個共享API密鑰。