Как скрыть api от посторонних?

Question

[KuzmenkoArtem]

Есть api сервер, есть клиент js.
Как спроектировать так что бы посторонний не смог подавать запросы на сервер.?
Спасибо.

Answer 1

[Roman Terekhin]

Если с api будут общаться со стороны клиента - то практически никак.
Копай в сторону Access-Control-Allow-Origin.

Answer 2

[Viktor Vsk]

Задайте сначала себе вопрос, какую информацию вы собираетесь защищать в этом API.
Если это какой-нибудь обычный html-контент, доступный по гет запросам - то просто забыть, его защитить нельзя.
Если у вас "деньги накручивать" можно таким образом, то нужно пересмотреть решение задачи, т.к. такие операции должны выполняться только авторизованным пользователем.

Answer 3

[Александр Таратин]

Никак.

Answer 4

[IvanOne]

Автор сделай генерацию ключей и привязывай к хосту клиента, при запросе проверяй их

Answer 5

[sbh]

Вы сторонними API пользовались когда-нибудь?
Клиентам выдаются API-ключи которые используются для авторизации.

Comments

[KuzmenkoArtem]

допусти мне дали ключ, он будет храниться на стороне клиента, кто мешает его украсть? P.S извините если туплю просто я бэкенд девелопер, и там все ясно. А сейчас вот такой вот проект

[sbh]

Как вы его красть собрались? Другие сервисы как-то же работают ) И никто не крадет.

[KuzmenkoArtem]

sbh: нет ну кто мне мешает нажать ф12 найти скрипт и вытащить секретный код. И помощью него посылать запросы на сервак и например накрутить себе денжат, в лучшем случаи)

[IvanOne]

Хочу заметить что некоторые сервисы проверяют еще и хост, то есть даже если кто то свиснет api ключ то хост уже не свиснет никто)

[Алексей Уколов]

KuzmenkoArtem: Для этого делается два ключа - один публичный, а другой секретный. Секретный ключ в открытом виде не передается, его украсть невозможно.

[sbh]

Вот вам и ответ ))))

Answer 6

[Lander]

Только по токенам (API-ключам), но это не спасает от самого факта отправки запроса клиентом на сервер.
Access-Control-Allow-Origin использовать не советовал бы, так как есть обходные пути.
Ну есть ещё вариант, настроить шлюз сервера на пропуск запросов только с определенных IP-адресов, но это уже выходит за рамки указанных тегов. :)

Answer 7

[index0h]

Можно сделать финт ушами и принимать запрос на не зарегистрированный домен. Клиентское приложение обязано будет у себя прописать ваш тайный хост.