如何隱藏客戶端JavaScript中的API密鑰

Question

現在我正在編寫一個客戶端JavaScript應用程序，向USPS價格計算器API發出請求。爲了提出這個請求，我需要在請求的xml中提供我的API用戶ID。標籤看起來像這樣： <RateV4Request USERID="ThisIsWhereMyUserIdGoes">。我的問題是：是否有任何方法可以將我的用戶ID提供給javascript，同時仍然從查看客戶端文件的用戶隱藏它。現在，我唯一的解決方案是在我的服務器中創建一個具有用戶ID的PHP文件，然後在客戶端JavaScript中使用AJAX請求將其存儲在全局變量中。它看起來像這樣：

var userID; 
$.get("/secrets.php", function(data) { 
     userID = data; 
}); 

這是保持我的API用戶ID不被我的應用程序的用戶看到的適當方式？我還能做什麼？

Answer 1

簡而言之：不，您無法在客戶端應用程序中保護您的API密鑰。

This article goes into some more detail

兩個選項

• 使API調用服務器端，然後從那裏服務信息給客戶端
• 要求客戶端使用自己的API密鑰

Answer 2

即使使用您的PHP解決方案，您也無法隱藏您的userId。通過訪問consle.log(userId);可以輕鬆地在瀏覽器控制檯中打印。據我所知，客戶端可用的任何東西都很脆弱，並且很容易被解碼。即使你混淆你的api密鑰，它仍然可以從客戶端解碼。

正確的做法是圍繞需要密鑰的API調用創建一個PHP包裝器，然後從Javascript調用該包裝器。