如何防止apikey被盗？

Question

通过js使用API​​密钥调用API时，通常采取哪些措施来保护API密钥免遭盗窃？对于这种情况，调用服务器端可能会更理想，但是需要完全通过js进行API调用的场景呢？

Answer 1

我认为你不能。如果从客户端（例如，Web浏览器）执行API调用，则用户将能够检查传出流量并查看API密钥。在这种情况下，我可以想到两个解决方法：

• 向后端发出AJAX请求，并在后端执行API调用。它可能会更慢，因为会执行两个http请求，但客户端永远无法访问秘密API密钥。

• 如果您可以控制API后端，请修改身份验证策略以避免使用单个共享API密钥。