如何从前端通过服务器发出 API 请求，以便最终用户看不到我的 API 密钥？

Question

我已经研究过，如果我想隐藏我的 API 密钥，我必须通过后端执行请求。隐藏我的 API 密钥的最佳方法是什么？并且请不要建议使用环境变量，我想知道通过服务器向 API 的服务器发出 API 请求的最佳实践。

Answer 1

不幸的是，根据您不建议的要求，ENV 变量是行业标准。通过这样做：

1. 您不必将 API 密钥提交到代码存储库

2. 您可以即时更改它们并重新启动系统以获取它们，或者以每次需要时重新获取它们的方式进行编码

3. 它们最终不会在您的 UI 代码中对世界可见，并且随后在您发送的每个请求中都可见。

另一种方法是将凭据值存储在某个数据库中。但是你有鸡/蛋的场景。您将在哪里存储您的数据库凭据以便您可以访问数据库？无法进入数据库，因为您将无法读取它们。您必须将它们放在一个环境变量中，或者在代码存储库中提交数据库凭据 - 这在任何方面都不是最佳实践。