保护前端网站的API

Question

我们的API（由第三方提供）正在使用令牌，以确保仅授权访问。我们的新网站不应该是服务器到服务器，而是大部分前端，即令牌在脚本中可见。我们现在正在检查如何为前端网站确保API，并且我必须向我的老板提出建议。然而，我从来没有必要做一些API保护，你能帮我告诉我在哪里阅读/状态的艺术解决方案？

我已经开始研究OAuth1a，OAuth2，OpenID，但还不能（真的）真的得到进一步调查的方向。

Answer 1

您仍然应该使用令牌，但您必须确保令牌不授予您完全访问API的权限。

令牌需要特定于正在使用该应用程序的用户，并且令牌只能授予对用户被允许执行的特定功能的API访问权限。

现在我会忽略OAuth1和OpenID，只有看OAuth2。有足够的功能来做你想做的事情，而且比其他的更简单。