API 使用约定

Question

我对在 Web 开发中使用 API 很陌生。我正在使用 python/django 中的 Web 应用程序向 Giantbomb api 发出 ajax jsonp 请求。当我学习如何使用这个 api 来获取所需的信息时，我开始意识到出于各种效率/安全原因，某些事情可能应该在我的代码中得到更好的处理。但我不熟悉使用基于 Web 的 API 的约定。以下是我一直在思考的几个问题：

1. 将我的 api-key 放在地址栏或源中是不是很糟糕。
2. 由于我使用的是 Django/Python，我是否应该为每个 api 请求创建一个自定义视图并使用 simplejson？我想使用 AJAX 来减少请求数量，并获得更好的动态 UI。
3. 在这些情况下，是否将 api-keys、api-urls 保存到会话中，然后根据需要进行访问？

提前感谢您的帮助和耐心，

Answer 1

1. 让用户可以看到您的 API 密钥意味着他们可以像您一样执行请求。这是否不好取决于相关的 API。如果可以进行三足身份验证，您的服务器可以与 API 服务器协商一个临时密钥（例如 Oauth 的会话密钥），并且只与浏览器共享该临时密钥。

2. 如果您打算让浏览器通过 AJAX 执行 API 请求，则您的视图根本不会进入图片，除了将 API 凭据传递给浏览器以在 javascript 中使用。

1234563 .但它仍然需要传递给浏览器，假设它正在执行实际的 API 请求。