javascript - JS MVC框架可以设置api认证吗？

Question

我一直在研究 backbone.js/spine.js，我喜欢只设置一个 REST api 并将所有逻辑放在客户端中的想法。但是，在使用 ajax 模型持久性时，有什么方法可以保护 REST api 的安全吗？或者有人可以只看我的来源并推断出所有的 api 端点吗？

Answer 1

没有办法让浏览器看到别人看不到的东西。因此，您将向攻击者展示您的 API 端点。

诀窍是对所有 API 调用进行身份验证，并确保您没有在 Javascript 中保存用于该身份验证的 key 。我倾向于使用登录用户的用户名和密码进行身份验证，它与 backbone.js 一起工作得很好。我只是将用户名和密码存储在 store.js 中，并将其与针对 API 的任何 ajax 调用一起发送。

请注意，这应该通过 HTTPS 完成。