web-services - 基于 URL 的 API key 限制 : How does validation works?

Question

我很想知道基于 URL 的 api key 限制是如何工作的，例如 Google 用来保护其 Google Maps 服务的限制。

据我从这篇文章“Restricting Access to Ajax Services”中了解到，涉及到两个部分:第一，服务使用单向散列函数为给定域创建特定 key ；其次，服务根据 Referer header 验证 key 。

虽然这篇文章的解释性很强，但我在试图理解验证方法的安全性方面仍然存在问题。我的意思是，如果只针对引用者检查 key ，这不是很容易伪造吗？我认为主机文件中的一个简单的“127.0.0.1 www.mydomain.com”就足以欺骗验证，并认为引用者是 www.mydomain.com 。

我可能误解了一些事情，一些澄清将不胜感激。

Answer 1

您引用的文章的“限制”部分特别提到了欺骗推荐人的可能性。

更改主机文件可能确实足以伪造您的推荐人，但前提是您从自己的计算机访问该站点。这意味着您只能在本地测试时滥用许可证。这不是很有趣的滥用。

为了发布您的应用程序，您需要在每个人的浏览器上欺骗引用，除非您使用本地运行的可执行文件中的 API，在这种情况下，您可能完全控制所有 header 。