javascript - 在客户端(JavaScript、Android、iOS 等)上保护 API key

Question

我正在开发一个以 API 为中心的 Web 应用程序，该应用程序具有自定义授权方法，该方法包括基于请求方法、URL、参数、公共(public) API key 构建一个字符串并由私有(private) API key 编码。这在服务器端工作正常，但在客户端私有(private) API key (和授权方法)将容易受到攻击。我花了大约一个小时的时间寻找保护此 API key 的好方法，我能找到的最佳方法是通过我的服务器进行代理，但我仍然不能 100% 确定这一点。

首先，我应该担心吗？我想在我的 Web 应用程序中将安全放在首位，但是任何涉及修改用户帐户的操作都需要一个临时的加密 token 来授权请求​​(除了 HMAC 哈希之外)。

我对代理的理解是，您将向您的服务器发出请求，然后服务器将使用私钥加密并返回信息..但是服务器将如何验证请求来自具有有效 API key 的源？

任何人都可以提供关于我应该做什么的任何见解吗？我觉得这可能是任何客户端代码(包括 JavaScript、iOS 和 Android)的漏洞。

Answer 1

您永远无法信任客户。即使你混淆了，也有人能猜出来。例如，对手可以对混淆算法进行逆向工程、查看设备内存，甚至捕获通过线路发送的内容。

但是，您仍然可以通过在服务器端实现安全措施来制作安全的应用程序。例如，用户应该需要经过身份验证才能成功发出特权 API 请求。

此外，您可以在服务器端强制使用 API，无论是通过输入验证、速率限制还是 IP 地址跟踪。