使用Javascript保護API密鑰

Question

我正在爲一個網站構建一個支付插件，用戶可以用真錢購買一些網站實習生貨幣。我使用的後端處理付款流程是this。 它提供了（別人旁）JavaScript庫與他們的API溝通，所以你不必讓您的系統的觸摸如信用卡號碼等

的問題是敏感的支付數據： 對於現在的API - 密鑰，祕密散列和其他易受攻擊的數據都被硬編碼到啓動與服務器通信的腳本中。所以理論上每個下降的用戶都可以將它們從瀏覽器中複製出來，並且可以用它做很討厭的sh * t，特別是如果他們可以訪問api文檔的話。

因此，這是不安全的，它絕對不能以這種方式上線。

即時工作與cakephp和我想收集這些敏感的鍵與一些AJAX調用我的控制器/模型，按下後提交按鈕。 存在這樣的問題，即這種連接並不安全，並且很容易被「中間人」控制。

是否有其他更好的方法來保護我的API密鑰在JavaScript？

Answer 1

使用基於令牌的身份驗證，https和csrf令牌，永遠不會，但永遠，但客戶端上的祕密。

使用oauth，因此用戶甚至不需要向您發送密碼。使用他人的認證系統。