如何在firebase托管中保护第三方API密钥？

Question

我在reactjs firestore项目中使用了不同的第三方API密钥。但我找不到在firebase主机中保护它们的方法。如何在firebase主机中隐藏这些API密钥？

例如，在Netlify托管服务中，它们提供环境变量功能，可用于保护API密钥。

也就是说，我可以将API密钥存储在netlify中的变量中，然后从那里检索，这将是安全的。

但在firebase我该怎么做？

我似乎找不到类似的设置，其中我可以将密钥存储为托管服务中的环境变量。

如果没有这样的功能，还有其他方法来保护这些API密钥吗？

对于Firebase API密钥，我已经阅读了一些答案，并理解Firebase API密钥不会被隐藏。

是否至少有一些方法可以将这些Firebase API密钥至少保护到一个安全的URL？（我知道编写安全规则是最好的方法，但我也在努力寻找其他选择）。

我似乎找不到一种方法来将firebase project API密钥的使用保护到一个安全的URL。

我试图找到保护API密钥的方法，但没有成功。

下面是我如何检索reactjs代码中的数据

axios.post(`https://data.retrieval.com/1/data?key=API_KEY`,  data)

我试图在生产代码中隐藏API_密钥

我想保护托管网站中的第三方API密钥。还将我的firebase project API密钥限制为仅一个安全URL。我现在不能这么做。有什么建议或解决方案吗？

谢谢你想帮忙也谢谢你抽出时间

Answer 1

不确定这是否有帮助，但我的Firebase Cloud Function使用此功能。

1. 创造你的秘密

firebase函数：配置：设置机密。API_KEY=“API密钥”

注意：这应该只用于服务器用例，而不是在客户端代码中。对于服务器，我指的是Firebase云功能或您的后端。

Answer 2

如果您在客户端代码中使用API密钥，恶意用户总是有可能找到密钥并滥用它。防止这种情况的唯一方法是不要在客户端代码中使用API密钥，或者拥有一个后端系统，该系统可以基于其他东西（如Firebase的服务器端安全规则）保护访问。

因为您的后端系统可能没有这样的安全模型，所以您通常必须将它们的API封装在您自己的中间件中，该中间件托管在一个受信任的环境中，例如您控制的服务器或云功能。然后，您可以通过设置自己的安全系统来确保对API的所有访问都得到授权。