如何在纯 HTML5 客户端应用程序上不公开 App 机密和密钥

Question

纯 HTML/JavaScript 客户端在使用 Kinvey 之类的 Baas 时不暴露应用程序密钥和机密的解决方案可能是什么。

在示例代码https://github.com/KinveyApps/TestDrive-Angular/blob/master/index.html 中，应用秘密和密钥公开给客户端，任何人都可以看到它。

Answer 1

简短版 - 你不能。

更长的版本 - 你不能。它不应该给您带来压力，因为它不会对您的设置或数据构成安全风险。

说明：

Kinvey 应用程序密钥和应用程序密钥本身只允许执行少数操作，例如 - Ping 您的 Kinvey 应用程序（确认网络/移动应用程序设置和后端连接） - 用户登录/注册（建立用户会话）

对于可以查看或修改您的设置或数据的所有其他操作（例如，集合访问、业务逻辑执行、触发推送通知等），需要在应用密钥之上的用户会话。

因此，即使您公开了应用程序机密，也不会有任何问题/威胁。