我有一个react js客户端应用程序（使用create-react-app），在其中我获取了一些API敏感数据（elasticsearch是我的后端，除了防火墙之外没有其他保护措施）。我正在使用0auth身份验证在用户使用应用程序之前对其进行身份验证。 （如互联网教程所示） 但是，我几乎可以肯定，进行客户端身份验证绝对不安全。黑客可以只更改我的javascript / React代码，以评估用户是否登录，并获取应用程序敏感数据。 那么如何有效保护我的应用程序呢？ （目前，我不愿意在后端增加保护。） 而且，我正在使用环境变量作为api键，如何保护它们？
对于新手，我深表歉意，我仍然是新手，仅针对客户端应用。