Rest API Javascript客户端身份验证，不暴露凭据

Question

我使用PHP开发了一个REST API。我现在正在为该API创建一个JS客户端，我的问题是如何在不共享JS代码中的密钥和密钥的情况下对API进行身份验证？

我正在考虑发送密钥并验证域的HTTP Referrer标头，但这实际上并不安全，因为标头可以更改。