Защита JavaScript API

Question

В настоящее время я работаю над небольшой библиотекой JavaScript, которая делает запросы к веб-службе REST. Поскольку стороне сервера необходимо регистрировать входящий запрос для измерения количества запросов, я хочу как-то его защитить. Библиотека очень похожа на API Карт Google. Итак, теперь мой вопрос: есть ли способ защитить его, а затем просто добавить ключ API к запросам библиотек? Как я могу гарантировать, если это возможно, что только «правильный» клиент использует ключ? Я думаю, я мог бы сравнить URL-адрес реферера с набором действительных URL-адресов, но это может быть подделано вправо? Имейте в виду, что невозможно использовать метод проверки чужих (facebook, google, twitter и т. Д.), Так как он должен работать без ввода пользователя.

Приветствие, Daniel

Answer 1

Порядочный RESTful подход будет требовать Authorization заголовка, который должен подаваться клиентом, соответствием некоторых схем, что ваш сервер будет принимать (см Basic Access authentication в качестве примера). Если вы только хотите подтвердить, что ваш клиент является тем, кто делает запрос, вам, вероятно, не нужен слишком сложный механизм авторизации.