Làm cách nào để giữ bí mật các khóa API khi sử dụng Javascript phía máy khách?

Question

Ví dụ: hãy xem plugin Facebook này.

Ở phía máy khách, khóa API hiển thị rõ ràng. Điều gì ngăn người dùng khác lấy khóa này và sử dụng tính năng này trên một trang web khác?

Tôi đã tìm ra một triển khai rất ngây thơ sẽ là kiểm tra miền mà yêu cầu đến từ nhưng những thứ như thế này rất dễ giả mạo.

Nếu tôi tạo một thứ gì đó tương tự, tôi làm cách nào để đảm bảo quá trình xác thực?

Tôi muốn phần lớn công việc này là phía khách hàng, mặc dù một số hình thức xác thực máy chủ sẽ được yêu cầu chắc chắn? Bất kỳ liên kết hoặc lời khuyên nào sẽ được đánh giá cao.

Cập nhật

tương tự question về khóa API mà tôi thấy hữu ích.

Answer 1

Trong ba từ: xác thực phía máy chủ. FB chính nó sẽ ném một lỗi khi bạn sử dụng một phím đó là không chính xác cho các trang web nhất định. Khóa API không được coi là bí mật (trái ngược với khóa bí mật).

Answer 2

Tôi chưa tự làm điều này, nhưng tôi biết rằng loại tấn công bạn đang lo lắng được gọi là Cross-site Request Forgery (CSRF). Các Wikipedia article trên đó đưa ra một số gợi ý về cách ngăn chặn nó.