例如,查看此Facebook插件。客户端中的API密钥明确可见。有什么东西可以阻止另一个用户获取此密钥并在不同的站点上使用此功能吗?我认为,一个非常天真的实现是检查请求来自哪个域,但这样的事情很容易被伪造。如果我要创建类似的东西,如何保护身份验证过程?我希望尽可能多地处理客户端,尽管肯定需要某种形式的服务器身份验证?任何链接或建议将不胜感激。更新关于API密钥的类似问题,我发现它很有用。