javascript - 隐藏客户端 API 调用

Question

我正在制作一个小应用程序(.Net web api 后端服务和前端的 angularjs)只是为了学习这些框架，开始喜欢项目本身并认为部署它会很好......

无论我的 .net rest 服务如何公开，目前任何人都可以通过 api 对象公开 crud，显然我不希望有人偶尔清除我的数据库。我并没有真正存储任何敏感信息，它是小型网络游戏，我在数据库中存储的只是元素、位置、游戏大厅、玩家(只有 id、用户名和引用列)，但仍然删除它们会在某处造成大问题.

那么我该如何预防呢？我的第一个想法是，只要没有人通过某种方式对用户隐藏 API 调用来发现我的 API 地址，它就会得到解决。这是可行且现实的解决方案吗？

Answer 1

您无法向客户端隐藏您的 API 调用，无论您做什么，他们总是可以使用像 Wireshark 这样的数据包嗅探器。查看您的应用正在做什么。

您需要构建一个更安全的 API，只允许用户操纵他们的帐户。您可以通过分配 token 来控制他们的访问，例如 oAuth 的方式有效。