javascript - 保护 JavaScript API 的安全

Question

我目前正在开发一个小型 JavaScript 库，该库向 REST Web 服务发出请求。由于服务器端需要记录传入请求来测量请求数量，因此我想以某种方式保护它。该库与 Google map API 非常相似。所以我现在的问题是，有没有什么方法可以比仅仅向库请求添加 API key 更好地保护它？如果可能的话，我如何确保只有“正确”的客户端才使用 key ？我想我可以将引用网址与一组有效网址进行比较，但这可以被欺骗吗？请记住，不可能使用其他人的身份验证方法(facebook、google、twitter 等)，因为它必须在没有用户输入的情况下工作。

干杯，丹尼尔

Answer 1

一个不错的 RESTful 方法是要求客户端提供一个 Authorization header ，匹配您的服务器将接受的某些方案(请参阅 Basic Access authentication 作为示例)。鉴于您只想验证您的客户端是否是发出请求的客户端，因此您可能不需要太复杂的授权机制。