我们正在尝试为我们的服务开发一个 API,并且我们对如何完成身份验证过程感到怀疑。我们的客户端必须能够包含一个与我们的 Node.js 服务器连接的 .js 文件。这里的关键点是我们的后端必须跟踪 API 的使用,以便我们的客户将根据其使用收费。
我们的目的是为用户设计尽可能简单的 API,并使其安全。我们曾想过:
为每个用户创建一个 API_KEY 并在每个请求中将其与他们的域匹配。这里的问题可能是域不是最安全的选择,不是吗?我们知道域可能会在 HTTP 请求中被取代。
使用带有 API_KEY 和 SECRET_KEY 的 SDK 为给定会话和用户生成令牌。我一点也不喜欢这个选项,但我们更喜欢为开发人员提供更简单的解决方案,这并不意味着使用多个 API。
你有什么想法/建议/考虑/什么?
提前致谢。