时间戳

首页 > 解决方案 > SWR 在每个 api 调用中都会公开 client-id 和 Bearer 令牌，我应该正确对待

javascript - SWR 在每个 api 调用中都会公开 client-id 和 Bearer 令牌，我应该正确对待

问题描述

长话短说，我刚刚使用 NextJs、NextAuth 和 SWR 构建了一个应用程序，我使用 SWR 调用多个 Twitch API，以验证 Twitch API 我使用我的 Twitch 应用程序 Client-Id 和登录的用户 Bearer 令牌，它是取自 NextAuth 的会话对象。

我担心的是，每当 SWR 执行 API 函数来使用数据填充页面或更新页面时，您可以在 chrome 或 firefox 开发工具中捕获网络调用时轻松查看请求标头这里。这主要是关于这是一个生产环境并且它仍然会发生，这也违反了 Twitch 开发人员文档并且非常肯定有“警告：将您的令牌视为密码。例如，永远不要在任何公共 URL 中使用访问令牌，并且永远不要在任何网页上显示令牌，而无需单击即可消除混淆。 ”

有没有办法或解决方案来隐藏这些？

现在我的下一个最好的问题是我怎样才能阻止这种情况发生，他们甚至是一种方式吗？

标签： javascriptnext.jstwitch-apiswr

解决方案

无需惊慌。可以在请求的Authorization标头中包含不记名令牌 - 实际上这是发送它们的标准方式。你不能从 Chrome 的开发工具中隐藏它，因为这会破坏它的目的。

您阅读的建议永远不要在任何公共 URL 中使用访问令牌可能意味着永远不要在 URL 中显示它们，mywebsite.com/?token=[abcd]因为这样可以通过浏览器历史记录访​​问它，或者不要将专为一项服务设计的令牌发送到另一项服务的 API。

这与 SWR 无关——它是标准的 HTTP 行为。

推荐阅读