php - 保护私有(private) API key

Question

所以我一直在搜索整个私有(private) API key 安全性，我对我应该采取的方法感到有点困惑，因为我还没有找到与我有相同特定问题/方法的人.

我正在开发一个通过第三方 API 运行的 Android 应用程序，我通过请求私钥获得了访问权限。现在，2 点:

• 我的应用程序不直接请求我正在使用的 API，而是请求一组 PHP 文件(托管在应用程序网站上)我编码以简化请求并从我正在使用的 API 检索数据使用，如果你允许的话，让我们称之为“某种API”。因此，从应用程序仅发送指定我的 API 应该向原始 API 请求什么的请求，因此，请求不需要原始 API 私钥，因为我可以将其存储在其中一个php 文件并在需要时使用。
• 我的应用程序不要求用户注册他们的帐户，因此我没有任何用户 ID 或名称可用于请求。

因此，从这里您可以看出，我并没有试图在应用程序代码中隐藏 API key ，也没有尝试使用用户 ID 和签名来允许访问我的 API 并连续访问原始 API ..

问题是，尽管无法在浏览器中看到 php 代码，但通过其他方式并非不可能，所以我也不能安全地将我的 key 存储在那里。所以我的问题很简单，这仍然是我用来隐藏我的私有(private) API key 的最佳方法，还是我应该重新考虑我执行所有这些过程的方式？

Answer 1

如果我没理解错的话，您不想将 API key 存储在您的公共(public) Web 文件夹中，因为在某些情况下它可以公开访问。

我遵循的建议是将 API key 存储在根 Web 文件夹之外的文件中。然后，您需要/将该文件包含在公用文件夹的脚本中。

在 Linux 环境下，是这样的:

/var/www/your_script.php (public access)
/var/secure/api_key.php (private, web server doesn't access this directory)

在你的_script.php 中

require_once 'api_key.php'; // example only, you will need to use the correct path
echo $api_key; // testing, you can use the key in the script

在 api_key.php 中

$api_key = '15r723er8q5re';