API密钥最佳实践与示例 - Okta开发者

当您使用REST API时，特别是那些需要付费或有使用限制的API，通常需要使用API密钥来进行访问。例如，在使用Okta API创建用户账户时，必须在请求中包含API密钥才能成功完成操作。由于API密钥可以访问API调用，可能会更改关键数据或产生高额费用，因此确保密钥的安全性至关重要。开发人员常常会犯一些错误，导致API密钥暴露给外界。

本文将通过示例展示如何为三个不同的API创建API密钥，并分析开发人员在使用过程中常见的错误及其解决方案。让我们开始吧！

如何获取和使用Okta API令牌

在调用Okta API时，需要在HTTP请求头中添加授权令牌。Okta使用专有的“SSWS”身份验证方案，因此令牌类型必须设置为“SSWS”。以下是一个使用[curl](https://www.explinks.com/wiki/what-are-curl-url-uri/)命令进行API调用的示例：

curl -X GET 
-H "Authorization: SSWS ${OKTA_API_KEY}" 
"https://${OKTA_DOMAIN}/api/v1/users"

将${OKTA_API_KEY}替换为实际的API密钥，将${OKTA_DOMAIN}替换为您的Okta域名。运行此命令后，您将收到一个包含用户详细信息的JSON响应。

如何获取和使用OpenWeather API令牌

OpenWeather提供了获取天气数据的API。要使用该API，您需要先注册一个账户。注册后，您将收到一个API密钥，但需要等待几个小时才能激活。以下是一个API调用的示例：

http://api.openweathermap.org/data/2.5/weather?q=London,uk&APPID=API_KEY

将API_KEY替换为您的API密钥。请注意，该请求通过HTTP而非HTTPS发送，且API密钥作为查询参数暴露在URL中，这可能带来安全隐患。

如何获取和使用Google Maps API密钥

Google Maps API允许在网页和移动应用中嵌入地图服务。以下是获取Google Maps API密钥的步骤：

登录Google Cloud控制台，选择API和服务 > 凭证。
点击创建凭证 > API密钥，生成密钥后将其安全存储。
为密钥设置限制：
- 选择HTTP引用者（网站），并添加允许的域名（如*.example.com/*）。
- 限制密钥仅用于特定API（如Maps JavaScript API）。

在每个Maps JavaScript API请求中，需将YOUR_API_KEY替换为实际的API密钥。

编译到移动应用程序中的API密钥问题

在移动应用（如Android和iOS）中，API密钥通常需要随每个API请求发送。以下是常见问题及解决方案：

问题：

硬编码URL和API密钥：将密钥直接写入代码中，可能导致密钥被暴露。
代码存储库泄露：如果代码被提交到公共存储库，任何人都可以访问密钥。

解决方案：

将API密钥存储在属性文件中，并将该文件添加到.gitignore中，防止其被提交到版本控制系统。
使用代理服务器代替直接在应用程序中存储密钥。

JavaScript中的API密钥问题

JavaScript代码运行在客户端，任何嵌入的API密钥都可能被用户查看。因此，建议对API密钥进行以下限制：

域名限制：仅允许来自特定域名的请求。
API端点限制：密钥只能调用特定的API端点。

尽管密钥可能暴露在代码中，但通过这些限制可以降低安全风险。

其他应用程序中的API密钥问题

在使用Go或Python等语言开发的应用程序中，避免将API密钥硬编码到代码中。推荐的做法是通过环境变量传递密钥。以下是一个Go语言的示例：

apiKey := os.Getenv("OKTA_API_KEY")
domain := os.Getenv("OKTA_DOMAIN")

通过环境变量传递密钥不仅可以提高安全性，还能方便地在不同环境（开发、测试、生产）中切换配置。

如何为单页应用程序（SPA）使用代理服务器

为了保护API密钥，可以使用代理服务器。代理服务器负责转发请求，并在请求中添加API密钥。以下是一个通过代理服务器访问OpenWeather API的示例：

创建HTML页面，允许用户选择位置并显示天气数据。
编写JavaScript代码，通过代理服务器发送请求。
使用Go语言编写代理服务器，从环境变量中读取API密钥，并将请求转发给OpenWeather API。

通过这种方式，客户端无需直接接触API密钥，从而提高了安全性。

结论

数据泄露或高额费用。以下是一些最佳实践：

避免硬编码密钥：将密钥存储在环境变量或配置文件中。
限制密钥使用范围：通过域名和API端点限制密钥的使用。
使用代理服务器：在客户端与API之间添加一层保护。

开发人员在处理API密钥时，应始终遵循安全最佳实践，以防止潜在的安全风险。

原文链接: https://developer.okta.com/blog/2021/02/03/api-key-best-practices-and-examples