APP_ID, API_KEY 같은 것들은 노출되도 상관이 없는 건가요?

Question

외부 서비스 사용 시 보통 APP_ID, API_KEY 같은 것들은 자바스크립트 코드에 들어가는데요.리액트나 뷰든 난독화를 해도 결국엔 까보면 저런 APP_ID, API_KEY 같은 것들은 알 수 있잖아요.APP_ID, API_KEY 같은 것들이 노출되면 실제 서비스에 문제가 생기거나 그러지는 않나요?

Mambo · Answer

자바스크립트 SDK를 기준으로 말씀드리면 반드시 액세스 키가 노출되는 환경이므로 자체적으로 기능을 최소화하거나 키와 더불어 도메인에 대한 검증을 수행하도록 되어있습니다. 그렇지 않은 외부 서비스가 있다면 보안을 고려하지 않았거나 서버에서 사용해야할 것을 자바스크립트에서 노출되도록 잘못 사용했을 가능성이 큽니다.

캐티 · Answer

제휴를 받은 서비스라면 할당량(quota)으로 사용량을 제한하는데 주로 위에 고유키 값을 배정 해주어요.이 것은 일부 이용자가 데이터를 남용 할 때 중복 처리 같은 것을 보완하기 위하여 비공개로 두기도 하빈다.의도적으로 공개되지 않도록 만들어서 사용자 세션마다 적정 분량만 쓰도록 사용량을 분배 시키는 것입니다.그러면 분당 몇 회의 사용량이 초과되면 잠시후에 시도 해주세요 같은 메세지를 띄우는 것이어요.

캐티 · Answer

별도에 시크릿 키를 사용 하지 않는 경우가 이쩌여.Introduction - Etherscan이더스캔 api를 사용 한 적이 있는데 api 키만 있으면 사용 가능 하빈다.소스코드 속성에 백링크나 어플에 &#34;Powered by Etherscan.io APIs&#34; 문구 정도 기재를 요구 하빈다.사실 머 서비스를 구축 할 때는 저기가 원할하게 작동 하지 않는 경우도 고려하여 자체서버도 구축하고 타사 서비스도 구축 놓쩌.Ethereum API | IPFS API & Gateway | ETH Nodes as a Service (infura.io)그러면 총 3개의 api 게이트웨이가 있다고 보시면 되겠습니다.근데 뭐 이거는 거의 프레임워크처럼 SDK 통합으로 제공되는 것이면 api 게이트웨이를 못 바꾸어요.오픈채팅에 경우에는 카카오톡도 자동화된 무단 난입과 어뷰징이 많은 편이어서 서버사이드에서 보안처리가 필요하다고 생각하빈다.

APP_ID, API_KEY 같은 것들은 노출되도 상관이 없는 건가요?

3개의 답변

기타 목록