JS API Аутентификация

Question

Я попытаюсь объяснить проблему.

Существует некоторая услуга, которая имеет API, полностью встроенный в JS (ajax/json) для сайтов-партнеров. Партнером сайта является лицо, у которого есть контракт с услугой. Таким образом, доступ к API имеет только определенные лица (сайты-партнеры). Что мне нужно сделать, так это создать некоторый способ авторизации для службы, чтобы узнать, действительно ли это запрос с сайта-партнера.

Сложность в том, что API полностью написан в JS. Вот почему ни HTTP-аутентификация, ни секретный ключ API, ни обмен ключами RSA не подходят для этого типа API, потому что службе нужны некоторые параметры аутентификации для приема, и единственный способ сделать это - передать их через AJAX с помощью JSON формат. Итак, каждый, кто знает, как смотреть в исходном коде страницы, может просто скопировать эти параметры и использовать их по своему усмотрению.

Вариант с ограничением IP тоже не подходит, по крайней мере, потому, что сайт-партнер может размещаться на общедоступном хостинге.

Я думал использовать некоторый ключ API с некоторым нечетким хэшем (только для службы) + отметка времени. Но этот метод рано или поздно станет понятным.

В любом случае, все, что приходит на ум, не вполне подходит. Может, кто-то столкнулся с этой проблемой? Получу любые ответы.

Answer 1

потому что для обслуживания необходимы некоторые параметры аутентификации, и единственный способ сделать это - передать их через AJAX с использованием формата JSON.

Я думаю, вы не понимаете разницу между JSON и JavaScript. JSON - это формат данных, например XML или SOAP. Вам не нужно использовать JavaScript для его просмотра. Существует большая поддержка JSON в PHP, Ruby, Java, Python и других. Обычно JSON передается через HTTP.

Итак, каждый, кто знает, как смотреть в исходном коде страницы, может просто скопировать эти параметры и использовать их по своему усмотрению.

Если ваш поставщик услуг требует вас использовать какой-либо ключ, я действительно сомневаюсь, что они хотят, чтобы вы сделали это в браузере. Вероятно, вам даже не будет позволено делать запрос из-за ограничений Cross Origin (большинство браузеров не позволят вам сделать запрос (особенно POST) доменом, который не является тем, от которого вы запрашиваете его).

Я предполагаю, что вам понадобится выполнить обработку с вашим провайдером на стороне сервера. Если у вашего провайдера есть документация, я проконсультирую его. В противном случае посмотрите, сможете ли вы помочь одному из их разработчиков.