要求用户提供API凭据以获取信息是否安全？

Question

我正在为PayPal构建分析Web应用程序。目前，当用户在我的应用上注册时，我要求他们输入他们的API密钥，密码和密码。然后我使用PayPal的Classic API来检索交易历史记录。虽然我只使用API​​凭据来检索信息并且实际上并未将其存储在我的数据库中（仅存储交易历史信息），但我不确定这是否是最好或最安全的方法。

我没有找到任何＆＃34;连接到PayPal＆＃34;其他服务（如Stripe）提供的类型机制。我这样做是唯一的好方法吗？

Answer 1

取决于您的应用程序的工作方式。如果用户要将应用程序下载到他们的计算机并直接从他们的计算机运行（或者将其安装在他们自己的Web服务器上并从那里运行），那么是 - 要求他们提供API凭据是正确的方法

如果用户要从您自己的服务器运行该应用程序，那么通常最好使用类似Permissions Service的内容来询问他们的权限。