使用RESTful服务保护跨域的API调用

Question

我有一个预订网站,我向用户提供了几行代码,我在其中添加了API密钥div以及代码.用户需要在他们的网站中添加这些代码.然后我使用ajax调用从我的站点加载他们站点上的视图.我担心的是:如何使用公共和私有API密钥使用codeIgniter使用restful Web服务来保证这些调用的安全性？

我提供给用户的代码看起来像

    <link rel="stylesheet" type="text/css" href="http://localhost/bookingpoints_com/apiTesting/styles/first.css" />
    <script src="http://localhost/bookingpoints_com/contents/scripts/jquery.js" ></script>
    <script src="http://localhost/bookingpoints_com/contents/scripts/apiused.js" ></script>
    <script src="http://localhost/bookingpoints_com/apiTesting/scripts/common.js" ></script>         
    <div id="api-data-reserve" name="Njc4ZDI5ZDZiN2RlYzIxMzM1N2U3ZWRkOGEwYjhlNThhZmZiNDNjNXRlc3QgY29kZTE=" data="Njc4ZDI5ZDZiN2RlYzIxMzM1N2U3ZWRkOGEwYjhlNThhZmZiNDNjNW1HVnZ3YVhMRVc=" sitekey="Njc4ZDI5ZDZiN2RlYzIxMzM1N2U3ZWRkOGEwYjhlNThhZmZiNDNjNQ=="></div>

通过这些代码行,我对我的站点进行了ajax调用,并在用户站点上呈现视图.如何使用纯API架构使用restful服务进行身份验证,使其像google的客户端和密钥结构一样工作？

Answer 1

Facebook、Google 和其他大公司使用iframe来提供此类服务。
以 facebook 为例，它为您提供了一个脚本来放入代码，该代码在运行时将为特定视图创建一个 iframe。

另外你不能进行跨站点ajax调用。只有从您的站点加载的 iframe 才能安全地加载页面。

现在有了密钥，您就可以随时在脚本中提供公钥。iframe href 将指向您的网站，$_SERVER['http_referer']您可以在其中确保 api 密钥已获得授权。除非您不打算发布任何私人机密数据，否则不要使用私钥。