【发布时间】：2018-12-30 08:27:22
【问题描述】：
我开发了一个使用 Firebase 身份验证和实时数据库的网站。我已限制 Firebase API 密钥仅访问我的服务器（HTTP 引荐来源网址 - 'https://projectname.firebaseapp.com/'）。但现在我也想允许我的 chrome 扩展访问它。
【问题讨论】：
标签： firebase google-chrome-extension
【发布时间】：2018-12-30 08:27:22
【问题描述】：
找到了解决办法——
将此添加到 HTTP 引荐来源网址有效 - 'chrome-extension://yourextensionid/'。
欢迎任何更好或更安全的解决方案！
【讨论】：
-
这是在扩展中保护 API 密钥的正确方法。有太多不好的建议如何做到这一点。
⚠️ 剧透坏消息：Access-Control-Allow-Origin 标头无法作为 Chrome 扩展的安全措施。
? 您可以做的是创建一个自定义身份验证系统（例如JWT 或您可以使用storage api 存储的任何内容）。否则，您可以发送error code（未经授权或不可用）。这可以完全在后台发生。您可以设置此握手并存储密钥。您只需要确保这种身份验证要求它来自浏览器并能够验证签名以确保您的令牌没有在其他地方使用（例如 curl 或其他服务器）。 JWT 可能是这里最好的解决方案。
GLHF！ ?
【讨论】：