限制REST API仅可通过我的网站访问

Question

我为我的网站创建了MongoDB和Node.js REST API。 我正在通过API访问我的数据库数据并在我的网站上显示它。 我正在本地的localhost上进行这些操作。

现在我想托管我的REST API。 我对托管没有任何想法。 如果我在某个地方托管我的REST API并开始通过其端点获取数据，那么任何人都可以使用这些端点并访问我的数据，但是我希望将其限制为仅适用于我的网站。 意思是，只有我的网站才能向该API发出请求，其他网站无法提出请求。 如果其他网站尝试访问它，则应显示错误。 我该如何实现这一点？ 能否请有人逐步解释我如何做到这一点？

- ZaihamM Code

Answer 1

我认为您在提到CORS。您需要设置API以在所有请求上具有以下响应头：

Access-Control-Allow-Origin: https://yourSiteDomain.com 您可以在此处阅读更多信息：https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Access-Control-Allow-Origin 其他人仍然可以直接访问您的API，例如通过postman等工具。

- justintimeza

---

有没有办法让其他人无法访问？ - ZaihamM Code

Answer 2

你需要的是一个 CSRF（跨站点请求伪造）令牌
对于 Node.js，你可以使用
csurf: http://expressjs.com/zh-cn/resources/middleware/csurf.html
在线查看如何实现它

- White Death