Jaki jest sens klucza API javascript, gdy jest widoczny dla każdego, kto ogląda kod js?

Question

Widziałem usługi takie jak Google, które wymagają dodania klucza API podczas wykonywania wywołania javascript, w ten sposób.

https://www.google.com/jsapi?key=thekeygoeshere 

Jaki jest sens posiadania tego klawisza API javascript, gdy kod jest widoczny, a klucz można odczytać. Czy ktoś nie może po prostu skopiować tego klucza i użyć go do swojej własnej witryny? A może jest coś innego, co robią w tle, aby upewnić się, że klucz należy do strony wykonującej połączenie?

Answer 1

Prawdopodobnie sprawdzają nagłówek HTTP referer.

Większość użytkowników wysyła to. Więc jeśli jest:

• Witryna, która pasuje do klucza, mogą działać jako normalne.
• Witryna, która nie pasuje do klucza, może odrzucić żądanie.
• Puste, mogą działać normalnie i umożliwiają niewielkiemu ułamkowi użytkowników korzystanie z interfejsu API na niewłaściwej stronie.

Większość odwiedzających stronę za pomocą niewłaściwego klucza zostanie zablokowana, więc nie będzie warto używać niewłaściwego klucza na stronie.

Answer 2

Kod google użyje AJAX lub czegoś podobnego, co spowoduje nawiązanie połączenia ze swoim serwerem z wyszczególnieniem klucza oraz URL strony, na której jest używany. Google może następnie sprawdzić, czy jest to właściwa strona dla tego klucza i zatrzymać działanie kodu, jeśli nie.

Chociaż interfejs API mapy działa na dowolnej stronie z dowolnym kluczem.