在从服务器路由我的请求时，我应该如何处理可伸缩性问题？

Question

我在系统的初始设计中遇到了一个问题，其中敏感信息被发送到前端，而前端负责调用第 3 方 API。正如您可能已经猜到的那样，它极易受到攻击。为了解决这个问题，我添加了一个后端系统来代理这些请求并代表前端调用第 3 方 API。这种方法的问题是它根本不可扩展。我目前正在寻找额外的 15 台服务器来处理当前负载，而且它每天都在增加。

关于如何删除此后端要求的任何建议？有什么办法可以让前端仍然调用API，但保护数据？

Answer 1

所以，你只是想吃蛋糕然后吃蛋糕。很抱歉这么说，但这个问题根本没有解决方案。一旦秘密被传递给客户端，他就可以做任何他想做的事情，包括调用 API 没有人想要的。为了更好地理解它，请使用像 Burp 或 OWASP ZAP 这样的正向代理。您将看到在每个请求离开浏览器后修改每个请求以及在每个响应到达浏览器之前修改它是多么容易。

作为代理的后端系统的优化通常有一些改进空间，所以我可能会专注于此。