React前端+Salesforce后端：如何无需额外操作隐藏API密钥？

方案1：用Salesforce Apex作为代理层（推荐） #

核心思路是把API密钥存储在Salesforce的安全存储中，通过Apex类作为中间层处理API请求，前端只调用Apex接口，完全不接触密钥。

• 步骤1：存储密钥到Salesforce命名凭据
  在Salesforce后台创建「命名凭据（Named Credentials）」，填入第三方API的认证信息（包括API密钥、Base URL等）。命名凭据会加密存储这些信息，且Apex可以直接引用，无需硬编码。

• 步骤2：编写Apex代理类
  创建带@AuraEnabled注解的Apex类，封装API调用逻辑，通过命名凭据访问目标API：

  public with sharing class ExternalApiProxy {
      @AuraEnabled(cacheable=true)
      public static String fetchTargetData(String apiPath) {
          HttpRequest request = new HttpRequest();
          // 引用命名凭据，格式为callout:凭据名称
          request.setEndpoint('callout:My_ThirdParty_Credential/' + apiPath);
          request.setMethod('GET');
  
          Http http = new Http();
          HttpResponse response = http.send(request);
  
          if (response.getStatusCode() >= 200 && response.getStatusCode() < 300) {
              return response.getBody();
          } else {
              throw new AuraHandledException('请求失败：' + response.getStatus());
          }
      }
  }
  

• 步骤3：React前端调用Apex接口
  React应用可以通过Salesforce的@salesforce/apex模块（如果是LWC集成）或者直接调用Salesforce REST API来触发Apex方法，全程无需处理密钥。其他用户部署应用到Salesforce环境后，只要环境中已配置好对应的命名凭据，就能直接运行，无需手动配置本地变量。

方案2：调用Salesforce自身API时用用户会话认证 #

如果你的后端是Salesforce自身API，完全不需要API密钥，直接用当前登录用户的会话ID（Session ID）做身份验证：

• 在嵌入Salesforce的React应用中（比如Visualforce页面或LWC容器），可以直接获取会话ID：

  // Visualforce嵌入场景下的会话ID获取方式
  const sessionId = '{!$Api.Session_ID}';
  
  // 调用Salesforce REST API示例
  fetch('/services/data/v59.0/query?q=SELECT+Name+FROM+Account', {
      headers: {
          'Authorization': `Bearer ${sessionId}`,
          'Content-Type': 'application/json'
      }
  })
  .then(res => res.json())
  .then(data => console.log(data));
  

  这种方式下，用户登录后自动继承自身权限，其他用户部署应用后无需任何额外配置，直接使用即可。

方案3：用Salesforce自定义设置/元数据存储密钥 #

如果是小型场景，也可以将API密钥存储在Salesforce的自定义设置或自定义元数据类型中，Apex类读取这些配置后处理API请求：

• 在Salesforce后台创建组织级自定义设置，添加API密钥字段并填入值；
• Apex类中读取该设置：

  String apiKey = My_Custom_Setting__c.getInstance().API_Key__c;
  

  部署应用时可以将自定义设置的配置一并打包，其他用户部署后直接使用，无需手动配置。

关键提醒 #

前端代码无法做到完全隐藏密钥（因为前端资源可被反编译），所以核心原则是永远不要在前端代码或本地环境中存储敏感密钥，将密钥放在Salesforce后端层，通过代理方式让前端间接调用，既保证安全，又能让其他用户无需额外操作即可运行应用。

内容的提问来源于stack exchange，提问作者user22637210