Как защитить Ajax код для «общения» с API от злоумышленников?

Question

[Funny_Cat]

На своём сайте я создаю ajax-запрос с помощью XMLHttpRequest для "общения" с REST API другого ресурса. В коде я прописываю напрямую токен (готовый токен выдаётся сторонним сервером для взаимодействия с ним). Как скрыть (защитить) сайт от атак пользователей? Ведь каждый может прочесть JavaScript код и воспользоваться токеном для доступа к аккаунту стороннего сайта.

xhr.setRequestHeader('Authorization', 'здесь пишется токен');

Answer 1

[Сергей Соколов]

Никак не скрыть. Что оказывается у клиента — пиши, пропало!

Хотите сохранить ключи от API, выполняйте запросы с вашего сервера, в клиенты отдавайте уже результат.