javascript - 前端 API token 暴露

Question

我的问题很简单也很笼统:当调用 RESTFUL API 时，无论是我的还是外部的，将 token 暴露在前端是否是常见做法/可以？例如，在 Google map api 的文档中，他们建议使用以下代码:

<script src="https://maps.googleapis.com/maps/api/js?key=YOUR_API_KEY&callback=initMap"
    async defer></script>

您的 API key 暴露在前端供所有人查看这一事实可以吗？我猜谷歌有限制访问的选项，这样就可以解决这个问题，但是其他不提供该选项的服务呢？

将 API 调用保留在后端以保护我的 token 是否更好？我认为将它们放在后端并不是首选，因为我无法异步获取数据

Answer 1

简而言之，是的，如果您可以在客户端系统上欺骗 httpreferer header ，则可以在您的网站中使用其他人的 API key 。事实上，如果您拥有其中任何一个，您甚至可以完全饱和他的配额

1. 完全控制您的客户端浏览器(以操纵可能发送到 Google 服务器的 HTTP header )
2. 您拥有大量独特的 IP 地址(只有当您非常富有并且您生活中唯一的动机就是清空他的配额时才尝试 xD)
3. Idk atm 会告诉我是否学到更多东西或有人发表评论