类似站长 api 的这种 key 验证方式安全吗？

[dtgxx]

好多接口请求都是用 api?key=xxx&... 这种，通过这个固定的 key 进行接口请求，是比较安全的吗？打算用 java 实现一个这种验证，单纯用逻辑判断就可以吗，还是需要通过权限框架呢。

[mineralsalt]

学傻了吧, 拦截器里面 if 判断一下不就行了, 要啥框架

[zpfhbyx]

😂 搞个拦截器不就行了..

[dtgxx]

@mineralsalt @zpfhbyx 我也感觉是这样。。。太简单有点不自信了

[zpfhbyx]

@dtgxx 要是不放心 找个开源的网关. 我用的是 kong.

[dtgxx]

@zpfhbyx #4 好嘞

[yuzo555]

如果是后端 API 就安全，如果 key 内容有机会暴露给客户端那就不安全

[hgc81538]

api?key=xxx&... 这種不安全, 因為會出現在 access_log, 把 key 放到 header 比較好