javascript - 我应该保守我的地理编码 api key 的 secret 吗？

Question

我正在与 geocoding api 合作来自谷歌。我将像这样使用 ajax 访问以下端点...

$.ajax({
  url: https://maps.googleapis.com/maps/api/geocode/json?address=1600+Amphitheatre+Parkway,+Mountain+View,+CA&key=MY_API_KEY,
  success: function(data) {
    console.log("yay");
  }
})

将我的 API key 直接添加到我的 JavaScript 中是否安全？这意味着它可以从我的网站以及源代码控制中查看。我应该采取什么预防措施？

Answer 1

不，您绝对应该对客户端和源代码管理隐藏您的 API key 。恶意用户可能会使用该 key 耗尽您的配额，从而使您的应用程序可能无法使用。

为了避免这种情况，请创建一个服务器，从 API 获取数据，然后将其提供给用户。此外，您应该应用速率限制，以防止用户通过您自己的应用程序耗尽您的配额。

有关详细信息，请参阅 this support article .