使用API密钥保护NextJS 13 API路由是否安全可行？

这种用固定API密钥保护API路由的方式，在你的场景里算是个能用的基础防护方案，但存在一些需要注意的风险和可优化的地方，具体如下：

优点 #

• 实现简单：不用搞复杂的身份验证流程，刚好适配未注册用户也能调用API的需求
• 快速生效：只需要在请求头带密钥、路由层做校验，就能快速挡住没密钥的非法调用

潜在风险 #

• 密钥容易泄露：如果你的fetch代码是在客户端组件里执行的，打包后process.env.API_KEY会被注入到浏览器环境，攻击者通过开发者工具就能轻松拿到密钥
• 泄露后滥用无限制：只校验密钥的话，一旦密钥泄露，攻击者可以从任何地方发起请求调用你的API
• 密钥更新麻烦：固定密钥一旦泄露，你得手动更新所有用到这个密钥的地方，运维成本高

优化建议 #

• 只在服务端发起请求：把带API密钥的fetch调用放到服务端组件、API路由或者Server Actions里执行，绝对不能让密钥出现在客户端代码里
• 加请求来源校验：结合req.headers.get('origin')或者req.headers.get('referer')，只允许你的应用域名发起的请求通过校验，就算密钥泄露，攻击者也没法从其他域名调用
• 用短期动态密钥：如果业务允许，可以生成带时间戳+签名的短期动态密钥，就算泄露，有效期短也能降低影响范围
• 加请求限流：在API路由里加限流逻辑（比如用第三方库或者Next.js中间件），防止攻击者拿到密钥后发起批量攻击
• 强化密钥存储：.env里的密钥别用NEXT_PUBLIC_前缀（带这个前缀的变量会暴露给客户端），服务器上也要把密钥文件的权限设成只有应用进程能读取

代码优化示例 #

服务端请求示例（避免客户端暴露密钥） #

// 仅在服务端组件/API路由/Server Actions中执行
const fetchProtectedAPI = async (path: string, method: string, body: any) => {
  const req = await fetch(`${process.env.BASE_URL}/api/${path}`, {
    method: method,
    headers: {
      'Content-Type': 'application/json',
      'authorization': process.env.API_KEY!,
    },
    body: JSON.stringify(body)
  })
  return req
}

增强版API路由校验 #

import { NextRequest } from 'next/server'

export async function DELETE(req: NextRequest) {
  try {
    // 1. 校验API密钥
    const authorization = req.headers.get('authorization')
    if (!authorization || authorization !== process.env.API_KEY) {
      return new Response(JSON.stringify({ error: 'Invalid API_KEY' }), { status: 401 })
    }

    // 2. 校验请求来源
    const allowedOrigins = process.env.ALLOWED_ORIGINS?.split(',') || []
    const origin = req.headers.get('origin')
    if (!origin || !allowedOrigins.includes(origin)) {
      return new Response(JSON.stringify({ error: 'Unauthorized origin' }), { status: 403 })
    }

    // 3. 后续业务逻辑
    // ...

    return new Response(JSON.stringify({ success: true }), { status: 200 })
  } catch (error) {
    return new Response(JSON.stringify({ error: (error as Error).message }), { status: 500 })
  }
}

内容的提问来源于stack exchange，提问作者Santiago Padilla