如何保护来自 Flutter Web 应用程序的 API 请求？

Question

我有一个用 PHP 为我的 Flutter 网络应用程序开发的 API。我正在使用此 API 来获取所有数据。但是，我可以看到对服务器发出的所有请求。

有没有办法隐藏/限制任何未经授权的人使用我的 API？我正在使用 HTTP 库从我的 flutter 应用程序调用 API。我只想隐藏那些对 Web API 的调用。我已经看到一些网站这样做了。由于这些网站中的服务器代码和网站代码位于同一目录中，因此无需向网络服务器发出请求即可直接访问。

Answer 1

我看到的两个问题是您可以看到从您的网页向后端服务器发出的所有请求，并且您想隐藏它们。答案是不，你不能。您可能会考虑禁用开发人员工具。答案是否定的，而且可能有未知的副作用。有没有办法隐藏/限制任何未经授权的人使用我的 API？这个问题的答案是肯定的，并且可以通过多种方法来完成。就像您说的，基于令牌的授权有其自身的密钥泄露问题，这就是为什么始终存在与之关联的有效性并应予以考虑的原因。有刷新令牌等机制来更新令牌等。我要做的第一件也是最重要的事情是在您的服务器中启用 CORS 机制，服务器将只允许处理来自非常特定域的请求。