如何確保API密鑰在遠程訪問時被盜取

Question

我們有api_key，api_secret用於訪問各種外部服務。這是當前的架構/模型。

用戶（ID，電子郵件......） user_service_configs（ID，USER_ID，API_KEY，api_secret）

獨立應用程序調用上線同一臺機器和通行證（USER_ID，API_KEY，api_secret）上運行的獨立服務。 獨立服務使用傳入的信息遠程調用外部服務。 關鍵/祕密值是用戶特定的，所以每個人都會有所不同。 我想避免有人窺探這些值並竊取它們。

什麼是理想的設計來管理這些api_key/secret（s）。我應該只傳遞user_id並在服務器上執行數據庫查找以獲取api_key/secret（s），或者我可以做些什麼來使其安全。

Answer 1

要解決您的標題中的主要問題「如何確保API密鑰在遠程調用時被盜」，我將推薦使用TLS/SSL。與遠程服務的HTTPS連接將確保任何敏感數據（如通過線路傳遞的API密鑰）都是端對端加密的。這可以防止惡意用戶可能訪問網絡的中間人攻擊風險。

恐怕我對您的架構不夠了解，以便進一步幫助管理API密鑰/機密。