在获取请求中隐藏 API 密钥

Question

我已经设置了一个带有 AD 身份验证的安全 Azure 函数，以便在 React 应用程序中使用。

这涉及以 API 密钥作为参数发送以下 GET 请求。

https://{domain_name}.azurewebsites.net/api/PowerBiEembeddedToken?code={my_api_key}

但是，我认为这是不安全的，因为我可以在浏览器的 Network XHR 选项卡中看到 API 密钥。

1. 从安全角度来看可以吗？
2. 如果没有，是否有处理此问题或隐藏 API 密钥的规范方法？

Answer 1

我从文档中找到了答案。

该键可以包含在名为 code 的查询字符串变量中，如上所述。它也可以包含在x-functions-key HTTP 标头中。键的值可以是为函数定义的任何功能键，也可以是任何主机键。