APIキーでクライアント側で使用するRESTサービスの保護

Question

RESTサービスをスムーズに作成し、json結果を返すとしましょう。

また、自分のユーザーが自分のサービスと通信するためのAPIキーを実装しました。

次に、A社が私のサービスを使い始めました。私は彼らにAPIキーを与えました。

たとえば、次のように私のサービスのURLがあると仮定することができます：

https://api.myservice.com/data?apikey= {key_comes_here}

主な問題は、私はまた私自身同じRESTウェブを呼び出す必要があります私自身のウェブサイトを持っているということですサービス。私自身のRESTサービスを呼び出すときに私のWebサイトからAPIキーを渡すと、誰かがFirebugなどの使用を止め、Webアプリケーションで使用しているAPIキーを確認して同じAPIキーを使用しますか？

Answer 1

たとえば、Googleが使用する方法。 Google MapsはAPIをURLにリンクします。したがって、キーを要求したときに指定されたURLのアプリケーションでのみ、提供されたキーを使用できます。これは、Webアプリケーションで特に使用できます。ここで、サーバーで参照元URLを取得できます。