Как спрятать api ключи в nuxt.js?

Question

[nezzard]

Добрый вечер, подскажите пожалуйста как правильно спрятать от юзера апи ключи от Firebase?
Или тут без дополнительного api не обойтись ?

Answer 1

[ProAI]

Nuxt.js - это прежде всего рендеринг UI на стороне сервера (сервера!!!) и соответственно надо постараться и специально показывать ключи (встроить их в страницу, в компонент Vue) чтобы конечный пользователь их увидел.
Представьте, что люди просят вас показать какую-то фотографию из вашего сейфа, выложив её перед ними на стол.
Стол - браузер.
Вы - серверное приложение на Nuxt.js.
Ваш сейф - Firebase.

Comments

[nezzard]

Собственно в этом то и вопрос, как спрятать эти ключи? Читал что если в env прописать то в конечном результате при рендеринге в скрипте будет виден ключ

[nezzard]

Или вы имели ввиду что не надо их прятать а наоборот показать? Достаточно ли прописать права на самом firebase?

[ProAI]

nezzard, Использовать env в данном случае не лучший вариант, т.к. документация на Nuxt.js указывает на это. Да, в env принято задавать окружение, но ведь можно и в отдельный конфигурационный json прописать ключи, и затем подключить его минуя env.
Ещё от того, что попадёт на клиент зависит какая идёт сборка dev или production.

[nezzard]

ProAI, Скажите пожалуйста, опасно ли светить ключи, если на firebase прописать запрет на добавление обновление и т.д. или с ними в таком случае ничего нельзя сделать?

[ProAI]

Если Вы боитесь хранения ключей на стороне сервера, то хоть вводите их вручную через форму приложения при первом запуске на стороне сервера или автоматизируйте этот процесс т.к. рано или поздно систему придётся перезапустить и вы должны будите быть готовым к этому. Скорей всего вы боитесь за сохранность ключей на VDS вашего хостера, но реали таковы, что с виртуального сервера можно и их делают (для бэкапов) снимки состояния виртуального хоста, при большом желание из которого можно вытащить информацию, иначе вам поможет только выделенный сервер.