Javascript Girl
  1. Javascript Girl
  3. Comment garder les clés de l'API secrètes lorsque vous utilisez Javascript côté client?
Intereting Posts
Nouveau numéro () vs nombre () Faire pivoter un élément div Comment puis-je utiliser Google Closure Stylesheet renommage avec une bibliothèque de Javascript externe comme jQuery? Pourquoi mon groupe de capture regex ne capture-t-il que la dernière partie de la chaîne lorsqu'il correspond à plusieurs pièces? Différence entre getElementsByClassName et querySelectorAll? Exécuter grunt-contrib-jshint uniquement sur les fichiers récemment modifiés Entrée de texte html sur l'événement de changement J'ai essayé de prototyper une méthode length () pour Object et a cassé jQuery – comment? Button javascript fonctionne sur IE mais pas firefox window.navigate () Synchroniser les lignes de tableur indépendantes, remplies par IMPORTRANGE () Comment puis-je passer des valeurs d'une page html à une autre page html à l'aide de javascript Test de plusieurs écrans avec javascript Rappel jQuery – violation stricte Directive AngularJS – ordre de réglage pour plusieurs éléments de directive (pas prioritaire pour les directives, mais priorité pour les éléments) Masquer l'élément par classe en Javascript pur

Comment garder les clés de l'API secrètes lorsque vous utilisez Javascript côté client?

Par exemple, consultez ce plugin Facebook .

Du côté client, la clé API est clairement visible. Qu'est ce qui empêche un autre utilisateur d'obtenir cette clé et d'utiliser cette fonctionnalité sur un autre site?

Je pensais qu'une mise en œuvre très naïf serait de vérifier le domaine de la demande, mais des choses comme celles-ci sont faciles à falsifier.

Si je devais créer quelque chose de similaire, comment puis-je assurer la sécurisation du processus d'authentification?

Je veux que le travail de ce travail soit du côté client, bien qu'une certaine forme d'authentification de serveur soit nécessairement sûre? Tous les liens ou conseils seront grandement appréciés.

Mettre à jour

Question similaire sur les clés API que j'ai trouvé utiles.

En trois mots: validation côté serveur. FB lui-même lancera une erreur lorsque vous utilisez une clé incorrecte pour le site donné. La clé API n'est pas censée être secrète (par opposition à la clé secrète).

Je ne l'ai pas fait moi-même, mais je sais que le type d'attaque dont vous vous inquiétez est appelé Cross-Site Request Forgery (CSRF). L' article de Wikipédia sur ce qui donne quelques conseils sur la façon de l'empêcher.