前后端分离的项目如何防止 api 被第三方利用

[imherer]

假如 api 是不需要任何鉴权，就像 v 站的 api 一样，第三方可以利用 api 去做一些小程序或者内容展示的网站

我不想让第三方利用我的 api，但是又不能做鉴权

这个好像是不能杜绝的吧，只能从利用 api 的难度方面入手？

[yankebupt]

觉得楼主不想搞鉴权已经不容易了，本来鉴权挺好的也不费多少资源，被大毒瘤们一鉴权就扯实名扯隐私收集扯这个那个搞臭掉了......
不知楼主的站有没有一般屌丝用的版本(不搞鉴权的话猜测很可能有个一般不登陆展示用的页面)，哪天没事可以去看看^_^

[niknik]

前后端令牌对比，令牌生成再加密

[Amecy]

ssr + jwt 呢？

[tonyaiken]

@Malthael 楼主讨论的情况就是请求是从浏览器发出的，这种情况没法做 IP 白名单。

[DavidNineRoc]

@ralaro 源码是放在腾讯上面的,你怎么反编译?

[zqx]

前后端分离不变，中间加 node 服务器。前端请求 node 服务器，node 服务根据 referer 过滤第三方的请求，后端 API 只供 node 服务内部调用，不对外暴露

[KomeijiSatori]

@DavidNineRoc 小程序运行会缓存到本地的, 并且可以解开混淆

https://github.com/qwerty472123/wxappUnpacker

[xfriday]

1. 不能鉴权
2. 不让一部分人调用

这需求要是产品提出来，打死它，狗屁逻辑不通，就跟“我要这个 Button 即是红的，又是蓝的”一样蠢