আমি আমার ডোমেনের জন্য একটি Google মানচিত্র এপিআই কী পেয়েছি।
যখন আমি আমার কী পেয়েছি তখন প্রদত্ত উদাহরণগুলি অনুরোধ পরামিতিগুলিতে এম্বেড করা কীটি দেখায়, উদাহরণস্বরূপ:
<script src="http://maps.google.com/maps?file=api&v=2&sensor=true_or_false&key=my-key" type="text/javascript"></script>
আমি প্রশংসা করি যে অনুরোধগুলিতে রেফারার ক্ষেত্রটি অবশ্যই আমার ডোমেনের সাথে মিলে যায়, আমার কী কী স্ক্রিপ্ট ট্যাগগুলিতে এবং এর মতো দৃশ্যমান করা নিরাপদ? বা আমার অন্য কোন পদক্ষেপ নেওয়া উচিত?
উত্তর:
গুগলের <script>সার্ভারগুলি থেকে জেএস ফাইল / ডেটা লোড করতে আপনার এইচটিএমএল পৃষ্ঠাগুলির ট্যাগগুলিতে কীটি অন্তর্ভুক্ত করতে হবে তা বিবেচনা করে, আপনি করার মতো কিছুই নেই:
তবুও, এটি আসলে গুরুত্বপূর্ণ নয়: যদি কেউ আপনার চেয়ে অন্য ডোমেনে এই কীটি ব্যবহার করার চেষ্টা করে তবে তারা একটি জাভাস্ক্রিপ্ট সতর্কতা পেয়ে যাবে - এটি থ্র ব্যবহারকারীদের পক্ষে ভাল নয়।
সুতরাং:
গুগল এপিআই কনসোলটিতে সেটিংস রয়েছে যা আপনার এপিআই ব্যান্ডউইথ ব্যবহার অন্য ডোমেন / ব্যবহারকারীর দ্বারা ব্যবহার থেকে রক্ষা করতে পারে। আপনি API কনসোলে রেফারার ব্যবহার করে এটি সীমাবদ্ধ এবং সুরক্ষা দিতে পারেন। API কী আপনার রেফারেন্সগুলির সাথে মিলে এমন রেফারার ছাড়াই অনুরোধগুলি প্রত্যাখ্যান করবে।
গুগল থেকে এপিআই কী এর স্ক্রিনশট যা কেবলমাত্র গুগল তার দুটি ডোমেন ব্যবহার করতে পারে।
যদিও এই প্রশ্নটি কয়েক বছরের পুরনো এটি খুব ভাল একটি প্রশ্ন। আমি বুঝতে পারছি এপিআই কীগুলি বহিঃপ্রকাশ করা, যদিও সেগুলি ডোমেনের সাথে মিলে যায়, এখনও অপব্যবহারের দিকে নিয়ে যেতে পারে। সিকিউরিটি স্ট্যাক এক্সচেঞ্জে এখানে একটি পোস্ট রয়েছে যা এটি আরও বিস্তারিতভাবে কভার করে।
সম্ভাব্য অপব্যবহার এড়াতে আপনি যে পদক্ষেপ নিতে পারেন তা গুগল এখানে প্রকাশ করেছে:
সুরক্ষিতভাবে API গুলি ব্যবহারের জন্য সেরা অনুশীলন গাইড: https://support.google.com/cloud/answer/6310037?hl=en
যদিও আমি এটি সমস্ত বোর্ডে নেওয়ার প্রস্তাব দিই, এমন একটি পদ্ধতির সাথে ব্র্যাবস্টার পোস্ট করা নির্দিষ্ট উদাহরণটি মোকাবেলা করবে এবং এটি কী পরিবেশের পরিবর্তনশীলে কী সংরক্ষণ করতে পারে । এইভাবে আপনাকে যা করতে হবে তা হ'ল আপনার প্রকল্পের মধ্যে থাকা সার্ভার-সাইড ভেরিয়েবলের কীটি বিকল্পযুক্ত করা। তবে নিশ্চিত হয়ে নিন যে ফাইলটি কোনও পাবলিক ভান্ডারের কী সংরক্ষণ করে না।
কীটি সুরক্ষিত করতে এবং পরিচালনা করতে আপনার পিছনে / সার্ভারের দিকটি ব্যবহার করা উচিত। আমার ক্ষেত্রে আমি জ্যাঙ্গো এফ / ডাব্লু সার্ভার সাইডটি ব্যবহার করেছি যা সার্ভার স্ক্রিপ্ট / ডিবি থেকে কীটি পাওয়ার জন্য একটি অজ্যাক্স কল পরিবেশন করতে পারে তবে এটি গুগল এপিআইতে পাস করতে পারে।