如何使用 Foursquare Secret 发布我的应用程序？安全问题答案

【问题标题】：how to publish my app using Foursquare Secret? Security is concerned如何使用 Foursquare Secret 发布我的应用程序？安全问题
【发布时间】：2018-03-26 04:33:32
【问题描述】：

我使用 Foursquare API 创建了一个网站，并希望在我的个人主页上发布它，但我对 Foursquare SECRET 存在安全问题。我在使用以下 URL 格式的 JS 文件中使用了 ajax 请求，我担心客户将能够读取我的 Foursquare ID 和 Secret：

https://api.foursquare.com/v2/venues/search?client_id=CLIENT_ID&client_secret=CLIENT_SECRET&v=20180325&ll=lat,lng&query=cafe

我确实像 Yelp 那样搜索了一种限制可访问 URL 的方法，但 Foursquare 似乎没有提供这种方法。在客户端或/和服务器端保护我的 Foursquare Secret 的最佳方法是什么？（我对后端的了解不多，但如果提供详细信息，将不胜感激，谢谢大家）

【问题讨论】：

标签： api security foursquare

【解决方案1】：

最简单的方法是使用用户令牌而不是您的 Client_ID / Client_Secret。

https://api.foursquare.com/v2/venues/search?oauth_token=someUsersToken&ll=lat,lng&query=cafe

您的应用已链接到该令牌。

另一个建议是使用服务器作为代理。将所有请求从您的应用发送到您的服务器，然后让您的服务器向foursquare 发出请求，注入客户端ID 和密码，然后将foursquare 响应发送回您的应用。

我看到使用暴露的用户令牌的问题是，他们可能会使用该令牌来模拟您的应用，向foursquare 发出请求。

您可以在此处查看有关foursquare 身份验证的更多信息。 https://developer.foursquare.com/docs/api/configuration/authentication

【讨论】：