如何在NEAR去中心化应用(dApp)中安全存储API密钥？

针对开源前端项目中web3.storage API令牌易泄露的问题，以下是几个落地性强的解决方案：

1. 后端代理中转（最推荐） #

完全不让前端接触令牌，搭建自己的后端服务作为中间层：

• 前端将待上传的文件发送到你的后端接口
• 后端从环境变量读取API令牌，调用web3.storage的上传接口完成操作
• 后端把IPFS返回的CID等结果返回给前端

这种方式彻底隔离了令牌与前端，同时你还能在后端做额外控制：

• 对前端请求做限流，防止恶意刷量消耗你的付费额度
• 加入用户鉴权，只允许合法用户使用上传服务
• 记录上传日志，方便追踪异常

简单示例（Node.js/Express）：

const express = require('express');
const { Web3Storage } = require('web3.storage');
const app = express();
const port = 3000;

// 从环境变量读取令牌
const storage = new Web3Storage({ token: process.env.WEB3_STORAGE_TOKEN });

app.post('/upload', async (req, res) => {
  // 这里可以加用户鉴权、文件校验逻辑
  const files = req.files;
  const cid = await storage.put(files);
  res.json({ cid });
});

app.listen(port, () => {
  console.log(`Proxy server running on port ${port}`);
});

2. 使用web3.storage受限令牌 #

利用web3.storage提供的令牌权限控制功能，生成受限范围的令牌，就算泄露也能把损失降到最低：

• 限制令牌仅能执行特定操作（比如只允许上传，禁止查看存储内容或删除）
• 设置令牌的有效期，比如24小时自动失效
• 绑定令牌到你的前端域名，只允许来自该域名的请求使用
• 限制令牌的调用额度，比如单日最多上传10GB

你可以在web3.storage的后台控制台生成这类受限令牌，具体配置根据你的业务需求调整。

3. 前端临时令牌机制 #

如果你的项目有用户系统，可以让后端为每个合法用户生成短期有效的临时令牌：

• 用户登录后，前端向后端申请临时令牌
• 后端基于主令牌生成带有有效期（比如1小时）的临时令牌，同时绑定该用户的身份
• 前端使用临时令牌调用web3.storage，过期后需要重新申请

这种方式就算临时令牌泄露，攻击者也只能在有效期内使用，且只能用该用户的配额，影响范围有限。

4. 文件哈希签名授权 #

前端不直接使用令牌，而是通过后端的签名授权来完成上传：

• 前端先计算待上传文件的哈希值，发送给后端
• 后端验证哈希的合法性（比如关联用户的上传请求、检查文件类型），然后生成一个带签名的授权信息（包含哈希、有效期等）
• 前端携带这个授权信息和文件，调用web3.storage的接口，web3.storage验证签名后允许上传

这种方式令牌始终留在后端，前端仅获取一次性的授权凭证，无法复用。

内容的提问来源于stack exchange，提问作者Jor