限制 REST API 访问

Question

我有一个面向公众的 API，它在内部使用 Google Maps API 服务返回一些数据。该 API 目前主要用于内部目的，通过 Web 应用程序调用。 但是，我希望限制此 API 的使用，即它只能在用户（未注册）浏览它时从我的 Web 应用程序（或移动应用程序）调用。不应授权直接向此 API 发出的 http 请求。

我不能使用 API 密钥，因为 webapp 流程也应该适用于非注册用户。

Answer 1

如果您不使用 HTTPS，那么任何安全机制都是有缺陷的，因为它可以被复制。恕我直言，您可以添加一个 HTTP 标头（例如“Request-source: YourApp”）并检查它在您的 API 中是否存在。

当然，一旦以某种方式记录下来，任何人都可以模仿这个标题。但是，如果您使用 HTTPS 并创建其他人不知道的标头，则可以防止这种情况发生。