前端连接 API 的最佳方式

由 Mux 主办的 DEV 全球展示挑战赛：展示你的项目！

我们经常会构建一些利用 CDN 优势（安全性高、性能好、无需后端基础设施）的网站，但我们也需要更强大、更动态的功能。增强功能的最佳方式是通过 API，例如电子邮件联系表单、处理外部数据或提供天气预报、航班时刻表、汇率等信息。如果我们不想构建后端或添加基础设施来处理这些 API 调用，该如何快速安全地实现这些 API 集成呢？如何保护 API 私钥？如果我们不希望在允许用户与第三方 API 交互之前进行用户身份验证，又该如何操作？我们将探讨执行这些 API 集成的最佳方法，并提供一些项目链接，指导您如何使用KOR Connect完成这些操作。

无需后端基础设施即可集成第三方 API 的方法：

将无服务器函数用作后端代理（AWS Lambda）：

通常建议使用无服务器函数来隐藏客户端应用程序的 API 密钥。这样，客户端就可以使用此无服务器函数作为代理，通过新的端点调用 API。开发人员还应集成 CORS 来识别请求头来源，确保只有允许的域才能调用代理（以防止来自任何位置的未经授权的请求）。这看似安全，但 CORS 仅验证浏览器调用，很容易被伪造或从浏览器外部调用。恶意攻击者仍然可以通过机器人程序增加成本，并导致端点被关闭。此外，此技术还可能出现其他问题，例如需要配置 AWS 服务来支持 Lambda 函数，如 API 网关、角色以及云服务之间的权限。如果您不熟悉云提供商，这可能会非常耗时。

Netlify Functions（基于 AWS Lambda 构建）：

Netlify Functions 是 AWS Lambda 的封装，与 AWS 预置代理相比，使用这种方法的主要优势在于提升了用户体验，并且 Netlify 还能帮助您简化部署流程。Netlify Functions 省去了设置 AWS 账户和其他 AWS 服务（正确集成 API 所必需的）的相关步骤。然而，Netlify Functions 也存在与自行设置 AWS 预置代理类似的安全问题。即使配置了 CORS，新的 Netlify 端点仍可能被恶意代理以未经授权的方式调用。这会导致您的 API 容易被关闭或产生额外费用。此外，如果您不熟悉编写函数，这还会带来额外的学习成本。

KOR Connect：

KOR Connect 是一种全新的客户端 Web 应用 API 集成方式。KOR Connect 是保护 API 密钥和连接第三方 API 的最快捷方式，因为您无需构建基础设施（AWS 或其他云提供商）或编写函数（AWS 和 Netlify Functions）。KOR Connect 也使用 AWS Lambda 来保护 API 密钥，但除此之外，KOR Connect 与其他方案并无其他相似之处。在 KOR Connect 上，API 密钥只需一键集成即可完成保护，然后 KOR Connect 会生成一个公共 URL 和标头，您可以将其复制粘贴到前端代码中。此第三方 API 集成过程只需不到一分钟即可完成，并且自动包含多项安全功能。这些功能包括机器人控制，它会检查：各种机器人、安全相关的机器人、来自自动化浏览器的调用、黑名单来源以及看似并非来自浏览器的用户代理，如果这些调用未通过检查，则会阻止它们。此外，它还会验证开发者允许的来源的 access-control-allow-origin 标头，并提供每个用户的速率限制器，该限制器可以阻止恶意行为者滥用调用，而不会对其他用户造成任何中断。

如果开发者在完成这个简单的单URL集成后希望进一步提升安全性，KOR Connect 提供更强大的来源验证和由 Google Recaptcha 提供的认证层。根据开发者使用的框架（例如 Reactjs、Vue、Angular 等），需要将 KOR Connect 提供的相应代码片段添加到项目代码中。

KOR Connect 可防止恶意攻击者通过浏览器或非浏览器发起端点调用，保护 API 密钥安全，并阻止机器人攻击。代码中使用的公共 URL 无需隐藏，因此开发者无需担心 API 密钥泄露到 Git 仓库、API 密钥在客户端暴露、手动为 Lambda 函数创建包装器，以及担心被发起不必要的端点调用。KOR Connect 目前提供的功能集是需要动态功能但可能不需要用户身份验证的客户端 Web 应用程序的最佳选择。（而且它是免费的！）

以下是一些教程链接，指导您完成与 KOR Connect 的 API 集成：

试试看！

前端集成音乐下载器 API

前端 API 密钥安全最快捷方法- 构建 Vue.js 新冠疫情追踪器。

如何在 ReactJS 上连接 GIF API 而无需后端

实时货币兑换 API 集成 - HTML