Bảo mật API để sử dụng với tiện ích Javascript

Question

Tôi đang viết một plugin javascript sẽ được cài đặt bởi các blogger/chủ sở hữu trang web. Nó sẽ liên lạc với API từ xa của tôi.

Tôi đang tự hỏi làm thế nào để bảo đảm API để đảm bảo rằng chỉ các lĩnh vực thuộc sở hữu của người dùng đã đăng ký một tài khoản với các dịch vụ có thể truy cập tài nguyên từ API. Tôi đã đọc trên OAuth2 và hiểu những điều cơ bản, nhưng vì plugin sẽ chạy từ bên trong trình duyệt chứ không phải từ máy chủ đến máy chủ, tôi không chắc chắn mức độ bảo mật này có thể như thế nào.

Tấn dịch vụ như mixpanel, google analytics, olark sử dụng cùng một khái niệm (tức là chủ sở hữu trang web cài đặt một dòng JS trên trang web của họ) để nó phải là một vấn đề được giải quyết.

Answer 1

Bạn có thể chèn window.location kiểm tra vào kịch bản của bạn để ngăn chặn những người khác từ bao gồm cả trực tiếp tắt của máy chủ của bạn.

Tuy nhiên, nó là không thể ngăn chặn những người tải về kịch bản tại địa phương, loại bỏ bảo vệ bạn, sau đó lưu trữ nó bản thân.

Bạn có thể yêu cầu một khóa API trong tất cả các yêu cầu phía máy chủ, nhưng kẻ thù có thể dễ dàng ăn cắp chìa khóa API từ các trang web hợp pháp.