问题标签 [api-key]

我的应用程序访问了许多 Web 服务，例如 Twitter 和 Flickr。它使用来自这些服务的 API 密钥，我想在我的二进制文件中混淆它们。（我并不担心盗版或其他任何事情，我只需要对这些密钥保密。）

最好的方法是什么？

如果我将它们存储为 const SecureString，是否会使它们内存不足？MSDN 描述说文本“在不再需要时从计算机内存中删除”，但不是 const 总是在内存中吗？

Dotfuscator 会在我的程序集中隐藏它吗？（假设我可以让它工作。）

最近谷歌改变了使用 API 密钥的政策。您现在应该不再需要 API 密钥来将 Google 地图放置在您的网站上。

这非常有效。但现在我在我的本地主机上运行了这张地图（没有 API 密钥），效果很好。但是一旦我把它放到网上，我就会弹出一个窗口说我需要另一个 API 密钥。在该网站的另一个页面上，谷歌地图确实有效。可能与不起作用的地图上有很多（30+）标记有关吗？

实际上，使用 API 密钥对我来说并不是一个很好的解决方案，因为这是许多网站上使用的 Wordpress 插件的一部分。

我刚刚注册了一个雅虎开发者 API 密钥。他们没有通过电子邮件向我发送指向它的链接或信息。它已被批准，但我不知道在哪里查看生成的 API。与谷歌的所有链接似乎再次指向应用程序页面。

我在哪里可以找到我的 API 密钥？！

ps：我恨你，雅虎。

我有一个 Web 应用程序，我正在为其构建一个 Drupal 模块，该模块允许我的客户访问我的应用程序上的某些数据。

我打算将秘密 API 密钥分发给需要在他们的 Drupal 模块副本中输入该值的客户。然后这个 Drupal 模块与我的 web 应用程序对话，但我需要确保 POST 请求确实来自该源。

这个“密钥”如何用于传递一些信息，当我的应用程序收到它时，它知道：

我是否应该使用此 API 密钥作为密码来加密与 POST 请求的其余部分匹配的某些数据？收到它时，我使用我的 API 密钥副本对其进行解密，如果它与其余数据匹配，我认为它已验证？

有没有为我做这件事的框架？Zend 内部的东西？

我想创建一个灵活的 API Rest 服务器。我将允许客户端使用 HTTP 或 APIKEY 进行身份验证。

我的问题是：将 apikey 添加到 GET 请求的正确方法是什么？我的问题是 apikey 污染了 url。

我想象这样的事情：/book/1/apikey/s4cr4t！

-->此问题适用于 Windows Phone 7 的移动应用程序（尽管我确信该解决方案可用于任何 .net 应用程序<--

您好，有哪些方法可以在应用程序内部调用应用程序 ID、API 密钥、客户端密钥等。我之前不止一次被告知，不建议将这些类型的密钥直接存储在应用程序内部，而是“调用”它们。原因是该应用程序可以被下载和反编译，从而导致您的密钥被盗。

有谁知道调用密钥而不直接将它们存储在应用程序中的安全方法？或者可能在密钥存储在设备上时对其进行加密？或者还有其他方法存在吗？

感谢您的建议或建议。

我正在为我公司的数据设计一个公共 API。我们希望应用程序开发人员注册一个 API 密钥，以便我们可以监控使用和过度使用。

由于 API 是 REST，我最初的想法是将此密钥放在自定义标头中。这就是我看到谷歌、亚马逊和雅虎的做法。另一方面，我的老板认为如果密钥只是 URL 的一部分，那么 API 更易于使用，等等。“ http://api.domain.tld/longapikey1234/resource ”。我想对此有话要说，但它违反了 URL 作为您想要的简单地址的原则，而不是您想要它的方式或原因。

您认为将密钥放在 URL 中是否合乎逻辑？或者，如果为某些数据编写一个简单的 javascript 前端，您宁愿不必手动设置 HTTP 标头吗？

我正在为 Mac OS X 创建一个 Twitter 客户端，并且我有一个消费者机密。据我了解，我不应该分享这个密钥。问题是当我将它作为字符串文字放入我的应用程序并使用它时，如下所示：

它位于我的应用程序二进制文件的数据部分。黑客可以阅读此内容、反汇编应用程序等。

是否有任何安全的方式来存储消费者的秘密？我应该加密它吗？

我创建了一个基于 Flickr JSON 的应用程序。我想要一个 Flickr JSON 密钥。当我尝试创建一个时，它会将我重定向到 block.opendns.com，因此我无法获得 Flickr API 密钥。我只想测试我的应用程序以查看它是否正常工作。那么任何人都可以为我提供 Flickr API 密钥吗？谢谢。

我正在寻找有关 RESTful API 设计的建议。我已经阅读了很多关于 REST API 方案、身份验证/授权方式等的内容。我无法决定是否真的需要使用 API 密钥。据我了解，如果您想监控使用情况、限制每个应用程序的请求和统计数据，使用 API 密钥很有用。

我要避免的是必须创建额外的 Web 界面来添加/管理/删除应用程序和添加/删除应用程序管理员。也许有一种更简单的方法来进行 API 密钥分发。还是我真的需要那些？我的意思是，监控和限制使用很酷，听起来很有用，但它是否值得我为密钥分配做其他事情。

更具体地说，我的网站类似于 slideshare 和 scribd。我想让 API 访问其功能，例如添加和管理文档以及获取有关用户的信息。因此，例如要上传文件，您需要以某种方式进行身份验证并使用特定帐户来执行此操作。在这种情况下，是否需要 API 密钥，或者我可以坚持对用户进行身份验证？

那么您认为我处理 API 密钥的最佳方式是什么？或者我应该使用它们吗？有没有更聪明的方法来分配（创建、删除）密钥？

提前致谢 ：）