Варианты усиления доступа к анонимным API
Мне нужен совет о том, как защитить или усилить доступ к анонимным REST API. Доступ к API будет осуществляться через веб-приложение на основе браузера. Это веб-приложение не требует аутентификации пользователя, поэтому я полагаю, что токены OAuth не подходят. Цель состоит в том, чтобы защитить эти API от использования неизвестными приложениями / источниками.
1 ответ
Невозможно.
Вам нужен какой-то секрет, который будет совместно использоваться клиентом и сервером (файл cookie сеанса, токен jwt, токен api, ...), чтобы убедиться, что никакая третья сторона не использует ваш api.
Если у вас его нет, вам остается занести IP-адреса в белый список (обычно не работает) или оценить исходный заголовок (я могу легко обойти его с помощью curl). С другой стороны, проверка происхождения может быть лучше, чем ничего, просто помните, это не пуленепробиваемое .