javascript - 如何保护 JavaScript/Ajax 客户端 [apigee] 中使用的 API 的安全？

Question

我使用 Apigee 作为私有(private) REST API 的代理，该 API 允许对我的数据库进行基本的 CRUD 操作。前端开发人员希望直接从 JavaScript/Ajax 调用我的 API，因此我无法使用基本的 API key 身份验证，因为任何人都可以查看 JS 的源代码并调用我的 API 上潜在的破坏性方法(我是一个远离起源的人)浏览器中的策略，但这不会阻止有人在浏览器外部执行curl 并调用我的API)。

最好的方法是什么？一旦用户通过身份验证并在其 Ajax 调用中使用该 token ，UI 开发人员是否可以以某种方式使用 OAUTH 来获取每个 session 的访问 token ？但即便如此，该用户难道就不能查看 JS 源代码并通过curl 做一些令人讨厌的事情吗？

提前致谢!

Answer 1

OAuth v2 应该可以解决您的问题。 Apigee 网站上有多篇文章和资源讨论了何时最好使用 OAuth v1 与 OAuth v2。 http://apigee.com/docs/content/apigee-oauth-frequently-asked-questions ，三足 OAuth 策略可能最适合您:http://apigee.com/docs/gateway-services/content/oauth 。 Apigee 网站上有一个示例。