क्लाइंट साइड जावास्क्रिप्ट का उपयोग करते समय एपीआई कुंजी गुप्त कैसे रखें?

Question

उदाहरण के लिए, यह Facebook प्लगइन देखें।

क्लाइंट साइड में एपीआई कुंजी स्पष्ट रूप से दिखाई दे रही है। इस कुंजी को प्राप्त करने और किसी अन्य साइट पर इस सुविधा का उपयोग करने से दूसरे उपयोगकर्ता को क्या रोक रहा है?

मुझे लगा कि अनुरोध करने के लिए डोमेन को जांचने के लिए एक बहुत ही निष्पक्ष कार्यान्वयन होगा, लेकिन इस तरह की चीजें नकली के लिए आसान हैं।

यदि मैं कुछ समान बनाना चाहता था, तो मैं प्रमाणीकरण प्रक्रिया को सुरक्षित करने के बारे में कैसे जाऊं?

मैं इस काम को जितना अधिक काम करना चाहता हूं, हालांकि सर्वर प्रमाणीकरण के कुछ रूप निश्चित रूप से आवश्यक होंगे? किसी भी लिंक या सलाह की सराहना की जाएगी।

अद्यतन

इसी question API कुंजियां कि मैं उपयोगी पाया के बारे में।

Answer 1

तीन शब्दों में: सर्वर-साइड सत्यापन। जब आप किसी दिए गए साइट के लिए गलत कुंजी का उपयोग करते हैं तो एफबी स्वयं एक त्रुटि फेंक देगा। एपीआई कुंजी गुप्त नहीं है (गुप्त कुंजी के विपरीत)।

Answer 2

मैंने यह स्वयं नहीं किया है, लेकिन मुझे पता है कि आप जिस प्रकार के हमले के बारे में चिंतित हैं उसे क्रॉस-साइट अनुरोध फोर्जरी (सीएसआरएफ) कहा जाता है। Wikipedia article उस पर इसे रोकने के तरीके पर कुछ संकेत देता है।