Securing JavaScript API

本文关键字：API JavaScript Securing 更新时间：2023-09-26

我目前正在开发一个向REST web服务发出请求的小型JavaScript库。由于服务器端需要记录传入的请求以衡量请求的数量，因此我希望以某种方式保护它。这个库与Google Maps API非常相似。所以我现在的问题是，是否有一些方法可以更好地保护它，然后只是添加一个API密钥到库的请求?如果可能的话，我如何确保只有"正确的"客户端使用密钥?我想我可以比较引用url到一组有效的url，但这可以欺骗到对吗?请记住，不可能使用其他身份验证方法(facebook, google, twitter等)，因为它必须在没有用户输入的情况下工作。

欢呼,丹尼尔

一个体面的RESTful方法是要求客户端提供一个Authorization标头，匹配服务器将接受的一些方案(参见基本访问身份验证作为一个例子)。由于您只希望验证客户机是发出请求的一方，因此可能不需要太复杂的授权机制。