如何保护 Flutter Web 应用发出的 API 请求？答案

【问题标题】：How protect API request made from Flutter Web app?如何保护 Flutter Web 应用发出的 API 请求？
【发布时间】：2020-09-17 15:01:20
【问题描述】：

我有一个用 PHP 为我的 Flutter Web 应用程序开发的 API。我正在使用这个 API 来获取所有数据。但是，我可以看到向服务器发出的所有请求。

有什么方法可以隐藏/限制任何未经授权的人使用我的 API？我正在使用 HTTP 库从我的颤振应用程序调用 API。我只想隐藏那些对 Web API 的调用。我见过一些网站这样做。由于这些网站中的服务器代码和网站代码在同一目录中，因此可以直接访问，而无需向网络服务器发出请求。

【问题讨论】：

【解决方案1】：

我看到的两个问题是

您可以看到从您的网页向后端服务器发出的所有请求，并且您想隐藏它们。

这个问题的答案是不，你不能。我这样说是基于我在谷歌的搜索和 SO 中的一些帖子，例如this

您可能会考虑禁用开发人员工具。答案是No 和maybe，副作用未知。

有什么方法可以隐藏/限制任何未经授权的人使用我的 API？

这个问题的答案是肯定的，并且可以通过多种方法来完成。就像您说的那样，基于令牌的授权有其自身的密钥泄露问题，这就是为什么始终存在与之相关的有效性并且应该考虑的原因。有刷新令牌更新令牌等机制。

我要做的第一件事是在您的服务器中启用 CORS 机制，服务器将只允许处理来自非常特定域的请求。更多详情here

【讨论】：