متغير البيئة في الواجهة لا يجعل مفتاح API سرّيًا
افحص الحزمة وطلبات المتصفح، وانقل الصلاحيات إلى الخادم، وألغِ المفتاح إذا وصل إلى الجمهور بالفعل.
الخلاصة
كل ما يصل إلى المتصفح يستطيع مستخدمه فحصه. قد يتحول متغير البيئة وقت البناء إلى قيمة داخل JavaScript؛ اسمه لا يجعل مفتاحًا ذا صلاحيات سرّيًا.
فهم الفرق يمنع استخدام الآخرين رصيدك أو الوصول إلى بيانات عبر اعتماد نسخوه من موقعك.
تتبع القيمة حتى المتصفح
افحص موضع استبدال إعداد البناء وما ترسله الطلبات. قد تكشف خرائط المصدر أو نص الحزمة أو الترويسات القيمة حتى لو كان اسم المتغير مطمئنًا. اختبر مشروعك محليًا ولا تنشر لقطة تتضمن السر.
ضع الصلاحية خلف حد فعلي
يستطيع خادم أو Worker حفظ السر واستدعاء المزود، لكنه يحتاج تفويضًا وتحققًا وحدود استخدام. وسيط مفتوح يمرّر أي طلب ينقل خطر الفوترة فقط. احصر الوظيفة العامة في الفعل المطلوب.
اعتبر المفتاح المنشور مكشوفًا
أزله من العميل وألغِه أو دوّره لدى المزود وافحص الاستخدام. حذف القيمة من الصفحة الحالية أو commit لا يبطل النسخ التي وصلت للآخرين. استخدم تخزين الأسرار على الخادم وأبقِ الملفات المحلية خارج الأصول المنشورة وGit.
قبل أن تتخذ أي خطوة
توفر بعض الخدمات معرّفات عميل عامة محدودة عمدًا. ميّزها من الأسرار التي تمنح الدفع أو الإدارة أو قراءة بيانات خاصة.
ما الذي يمكنك فعله الآن؟
- صنّف الاعتماد وفق وثائق المزود.
- افحص JavaScript المبني والطلبات محليًا دون إرسال الأسرار لفاحص عام.
- انقل الطلبات الحساسة إلى خادم مضبوط وألغِ الاعتمادات المكشوفة قبل استبدالها.
