API使用約定

Question

對於web開發中API的使用，我很新穎。我正在使用python/django中的web應用程序來製作ajax jsonp請求到巨型炸彈api。當我學習如何使用這個API來獲取信息需求時，我開始意識到某些事情應該可以在我的代碼中更好地處理，以達到各種效率/安全性原因。但我不熟悉使用基於web的API的慣例。這裏有幾個問題一直在考慮：

1. 在地址欄或源代碼中使用我的api-key是不好的。
2. 由於我使用的是Django/Python，我應該爲每個api請求創建一個自定義視圖並使用simplejson？我想使用AJAX來減少請求數量，並獲得更好的動態UI。
3. 在這些情況下，api-keys，api-url保存到會話中，然後根據需要進行訪問？

感謝您的幫助和耐心提前，

Answer 1

1. 有你的API密鑰對用戶可見意味着他們可以做請求你。這種情況是否糟糕取決於所討論的API。如果可以進行三段身份驗證，則服務器可以與API服務器協商一個臨時密鑰（例如Oauth會話密鑰），並僅與瀏覽器共享該臨時密鑰。

2. 如果您打算讓瀏覽器通過AJAX執行API請求，您的視圖根本不會進入圖片，除非將API憑據傳遞給瀏覽器以用於JavaScript。如果您正在進行三段身份驗證，您的服務器會將API密鑰存儲在永久（數據庫或文件）的某處，但會話密鑰可能位於更臨時的位置（例如存儲會話數據的任何位置）。但它仍然需要傳遞給瀏覽器，假設它正在執行實際的API請求。