javascript - 如何不在纯 HTML5 客户端应用程序上暴露应用程序 secret 和 key

Question

纯 HTML/JavaScript 客户端在使用像 Kinvey 这样的 Baas 时不暴露应用程序 key 和 secret 的解决方案是什么？ 。

示例代码中 https://github.com/KinveyApps/TestDrive-Angular/blob/master/index.html应用程序 secret 和 key 暴露给客户端，任何人都可以看到它。

Answer 1

简短版本 - 你不能。

更长的版本 - 你不能。它不应该给您带来压力，因为它不会对您的设置或数据构成安全风险。

说明:

Kinvey 应用程序 key 和应用程序 key 本身只允许执行一些操作，例如 - Ping 您的 Kinvey 应用程序(确认网络/移动应用程序设置和后端连接) - 用户登录/注册(建立用户 session )

对于可以查看或修改您的设置或数据的所有其他操作(例如集合访问、业务逻辑执行、触发推送通知等)，需要在应用程序 key 之上进行用户 session 。

因此，即使您泄露了应用程序 secret ，也不会以任何方式构成问题/威胁。