api - 有没有办法在没有基于登录的身份验证的情况下保护 API？

我目前正在为网站开发 API，但该网站不需要登录即可使用，因此 API 必须在没有个人用户身份验证的情况下工作。目标是防止 API 被第 3 方使用。

有没有办法保护 API 仅供我的网站使用，而不使用登录身份验证来防止第 3 方调用后端服务。

我已经研究过 CORS，但这似乎不是一个强有力的保证。另一个想法是轮换 API 密钥。在这些情况下通常使用什么？

标签： apisecurityauthenticationauthorizationapi-design

加载您的网站后，在您的客户端中设置一个唯一令牌。在您的所有请求中将这个唯一令牌发送到您的服务器，这可以帮助您确定您的客户端是否正在访问 API。

用户不必登录，但在这种情况下您设置了一个令牌，类似于 API Key 身份验证类型。