0

node.jsとOpenWeatherMap APIを使って天気予報サイトを作成してます。
jsの中でAPIキーを隠す方法が無いらしくnode.js内でAPIを呼び出してます。

jsでgetして、node.jsでAPIを呼びだしています。
そうするとjs内のurlを使って http://localhost:3000/get みたいに他の人が利用されるのではないのか?
他の人に利用されないようにするにはどうすればいいのでしょうか?
また、他の安全なAPIの呼び出し方があったら教えてほしいです。
よろしくお願いします。

jsのコード

fetch("get")
    .then((response) => {
        if (!response.ok) {
            throw new Error();
        }
        console.log(response);
        return response.json(); // あるいは response.json()
    })
    .then((json) => {
        console.log("?? ~ file: App.vue ~ line 32 ~ .then ~ json", json);
    })
    .catch((reason) => {
        console.error(reason);
    });

node.jsのコード

app.get("/get", function (req, res) {
    //ここでapiを呼び出して結果を返す
});

2 件の回答 2

-1

APIのデータをそのまま返しているということでしょうか?
であるならば、まずはAPIで取得したデータをそのまま返そうとはせず、
自分のWebサイトで利用する情報だけに加工して返すようにすれば、まずはそのAPIをパクッて何かしようという人は少ないと思います。すべて丸々そのまま返すようなものを作ってしまうといわゆるサービスの複製とみなされてAPIの規約違反になる可能性もあります。

それでも、有効な情報であるならば自分で作ったAPIの結果を横取りしてくる人はいると思います。
この問題はクロスサイトリクエストフォージェリーとも呼ばれ
その場合はワンタイムトークンやパスワード認証やリファラー制約を利用して解決することもあるでしょう。リンク先参照してください

ただ天気のAPIレベルだと個人情報が抜かれることはなく、脅威となるようなリスクは低いと思われます。唯一リスクを上げるとすれば、無駄にAPIにリクエストしてしまい、API側のコストが上がり、制限に達してしまったり課金されてしまうことがあるかもしれません。

そのいやがらせ的なリクエストに対して対応できる策として、キャッシュの導入を検討しましょう。
都度APIにリクエストを送るのではなく取得したAPIの結果をDB等に保存して、一定期間はキャッシュから読み取るようにしてしまえばよいと思います。
天気予報であれば秒単位でリアルタイムで大きく変わることはなく5分、10分程度のキャッシュを残しておけば十分サービスとして成り立つ可能性もあります。
これはサービスの要件や要求をもとにキャッシュの可能性を探ってみてください。

ただ実際はそういった不正行為を行ってくる可能性があるのかも検討に踏まえて
プロダクトとしてリスクとコストを見積もって実装の必要性を探る必要があるでしょう。
ここはプログラマだけの領域ではなくて依頼主やプロダクトオーナーの判断も必要になるでしょう。

-1

OpenID ConnectおよびOAuthを利用するのが一般的かなと思います。
詳細は
https://qiita.com/TakahikoKawasaki/items/498ca08bbfcc341691fe
とか
https://openid.net/connect/
あたりを参照ください。

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。