Question

团队，

我有一个要求，例如我必须支持我的合作伙伴（第三方）门户网站，以便通过使用来自他们浏览器的凭据进行api调用来直接致电我们。

e.g.) Partner portal browser makes AJAX Call with below:

      URL      ---> https://example.com/request
      HEADER   ---> user_id   : foo
      HEADER   ---> password  : mypasswd
      payload  ---> {
                       "request_time" : 2232876435,
                       "request_name" : "get_user_info",
                       ...
                       ...
                    }

他们的浏览器/门户可供不信任的用户访问/使用。现在的问题是，因为呼叫来自前端；最终用户可以轻松地检查浏览器，以查看网络api调用以及我们提供给合作伙伴以在我们这边进行授权的凭据。

因此，我正计划通过要求合作伙伴在其 Portal后端服务器中加密有效负载和标头并向其提供门户中的加密信息的方式来向合作伙伴提出建议。

Encrypt (payload)   using mypasswd.
Encrypt (password)  using request_time  <NOW OPTIONAL TO PASS>

现在，

e.g.) URL      ---> https://example.com/request
      HEADER   ---> user_name : foo
      HEADER   ---> password  : ENCRYPTED<mypasswd>  <-- OPTIONAL
      payload  ---> ENCRYPTED< 
                       {
                       "request_time" : 2232876435,
                       "request_name" : "get_user_info",
                       ...
                       ...
                       } 
                    >

因此，在我们的系统中，我们将使用为user_id mypasswd检索的foo解密有效负载。因此，如果解密成功，则请求来自有效资源。

现在最终门户用户无法理解浏览器检查的请求。

注意：