秘密鍵をjavascriptコードに渡して保護する方法はありますか？

Question

私は、要求を行う前に、私はJavaScriptで秘密を設定する必要があり、AWSのJavascript SDKを使用してRailsアプリケーションを持っている：

AWS.config.update({ accessKeyId: '<%= ENV["AWS_ACCESS_KEY_ID"] %>', secretAccessKey: '<%= ENV["AWS_SECRET_ACCESS_KEY"] %>' }); 

問題は、誰もがそう、クロムコンソールを使用して、これらの秘密の値をチェックすることができますですこれらのキーを隠すにはどうすればいいのですか？

私はAJAXでそれらを取り出すことを考えていましたが、AJAX呼び出しから返されたデータもクライアントで表示できませんでしたか？か否か？

おかげ

あなたは離れて、クライアントから隠すことができ、クライアント側のJS値を持つことができる方法はありません

Answer 1

いいえ、クライアント側の秘密鍵を保護することはできません。あなたのコードがキーを必要とし、それを読むことができるならば、どのユーザもブラウザコンソールで同じロジックを実行することによってそれを読むことができます。

AWS SDKからどの機能を使用するのかは不明ですが、ファイルをアップロードする場合は、クライアントに秘密鍵は必要ありません。要求に署名する必要がありますが、それはクライアント側で発生する必要はありません。それはこのようなものだ：

1. ユーザーが
2. クライアントJSは、アクセスキーを使用して、サーバーからS3の署名を要求し、情報（名前、タイプ、など）をファイル、ファイル
を選択
3. サーバはS3を生成するための秘密鍵を使用しています署名とJSがS3リクエストに署名を添付して、AWS S3
4. にファイルをポストクライアント
5. クライアントに返します...
6. 利益！

Answer 2

は、唯一の方法は次のようになり、クライアント側に示さのみ、サーバー側のデータと任意の秘密データを暗号化することです暗号化され、理解できない。トラフィックを暗号化する場合は、HTTPSプロトコルを使用することを検討してください。お役に立てれば。