javascript - 用于客户端-服务器通信和安全的 api-key

Question

我需要一些建议。我想构建一个 JS 应用程序，它将在客户端浏览器上运行并与我的服务器进行 ajax 通信。问题是我想给这个客户端一些 api key ，这样我就可以在我的服务器上授权它。安全方面这是一个问题，因为只要该 key 通过 ajax 调用发送，任何人都可以复制该调用。我不想要求客户端创建一些代理服务器并“ curl ”请求。我希望它直接从客户端到我的服务器。除了通过 IP 或域验证客户端之外，最佳实践是什么？

Answer 1

您可以使用类似 JWT 的内容.

您创建一个身份验证对象

{
  apiKey: asd-dfgdf-e3234,  // not even necessary (read on)
  expires: 12213493434,
  ip: "x.x.x.x"
}

您对其进行 Base64 编码，然后使用私钥(或服务器上的哈希函数)对其进行签名，并将签名作为 Base64 字符串附加到“有效负载”。

eyBhcGk6IDEyMzQ1LTU2Nzc4LCBhcGk6IDEyNy4wLjAuMSB9.Tm90IFNlY3VyZSE=
|  -------- payload ----------------------------| -- signature -|

将此传递给您的客户。每个请求都会发送此 token 。可以检查和验证其是否被篡改(与请求的 IP 匹配，无需 key )。