Как спрятать token при запросе к API VK?

Question

[alex5e]

При запросе $.getJSON к VK API для публикации сообщения на стену группы, в Firebug выводится кусок кода, в котором светится и токен и номер группы и передаваемое сообщение.

Т. е. каждый, кто получит мой токен, сможет выполнить подобный запрос (добавить сообщение в группу или наоборот удалить, т.к. права это позволяют). Как можно обезопасить себя от этого?

Уменьшение времени жизни токена не подходит, т.к. он должен оставаться вечным.

<script type="text/javascript">
            $.getJSON('https://api.vk.com/method/wall.post?owner_id=-69173875&from_group=1&message=<?php echo(urldecode($message)); ?>&access_token=TOKEN&v=5.16&callback=?', function(resp){
			})
			.done(function( resp ) {
				if (resp.response!=undefined)
			 console.log( "JSON Data: " + resp.response.post_id );
			else
				console.log("error");
			});
			
			</script>

Answer 1

[Александр Зеленин]

отправляйте аяксом запрос на собственный php-скрипт, который уже курлом сделает запрос к апи и вернет, если надо, ответ.

Answer 2

[Петруша Укропов]

Токен же привязан к твоему сайту

Comments

[alex5e]

С localhost тоже отправляет.

[alex5e]

Привязка играет роль только при получении токена, а если токен уже записан, где нибудь в БД, то тогда как быть?

Answer 3

[Александр Хиренко]

Во избежания таких ситуаций нужно выполнять подобные запросы на стороне сервера.
С помощью JS токен Вы никак не скроете. Любой, кто откроет консоль, увидит его.

Comments

[alex5e]

А как реализовать это на стороне сервера? Через file_get_contents() не получается

[Александр Хиренко]

@s77lanselot77s curl Вам в этом деле поможет.

Answer 4

[WTFRU7]

Токен ВК привязан к IP - поэтому даже если украдут - им не смогут воспользоваться