基于Vanilla JS+PHP实现安全API调用的技术咨询

本人从事开发工作有一段时间，但刚接触PHP，且整体Web开发经验尚浅。现有一个采用Vanilla JS前端、PHP后端的站点，需调用外部API，请求中包含敏感用户信息及站点API凭证。因未找到简洁易懂的解决方案，我整合多方资料拼凑了一套可行方案，现对方案安全性存疑，具体如下：

当前方案概述 #

1. request.js（包含用户逻辑，携带敏感用户数据调用站点API）：

await fetch('php_file_in_doc_root.php', user_data);
// do stuff with result

2. php_file_in_doc_root.php（包含调用外部API的逻辑）：

require_once(__DIR__ . "config_file_outside_doc_root.php");
$user_data = json_decode(file_get_contents('php://input'), true);
// make external api call with $credentials and $user_data 
echo $some_output

3. config_file_outside_doc_root.php（存储站点的外部API凭证）：

$credentials = foo;

疑问解答 #

1. 将API凭证存储在文档根目录外，再由根目录内的PHP文件引入是否安全？原因是什么？ #

这是非常安全且行业通用的推荐做法。核心原因是：文档根目录是Web服务器对外暴露的公开目录，只要服务器配置出现失误（比如PHP解析失效），根目录内的文件可能被直接下载泄露；而放在根目录外的文件，Web服务器不会对外提供访问入口，只有PHP进程能通过系统文件权限读取，除非服务器被入侵拿到系统级权限，否则外部访问者根本碰不到这个凭证文件。

需要额外注意两点：一是给这个外部凭证文件设置严格的系统权限——只开放给PHP进程的运行用户读权限，其他用户无访问权限；二是require_once的路径要使用绝对路径（你现在用__DIR__拼接是安全的），避免使用用户可控变量拼接路径，防止路径遍历漏洞。

2. 从前端向后端传输敏感用户数据时，除已使用的HTTPS外，还需采取哪些措施？ #

• 防CSRF攻击：前端页面加载时从后端获取唯一的CSRF令牌，存储在Cookie或页面隐藏域中，发送请求时将令牌放在请求头或请求体里，后端验证令牌有效性，避免跨站恶意请求。
• 严格校验用户输入：后端拿到用户数据后，必须做格式校验（比如手机号、邮箱格式）和内容过滤（比如过滤SQL注入、XSS相关字符），不要直接将用户数据拼入外部API请求，优先使用参数绑定方式（如果外部API支持）。
• 限制请求来源：配置CORS规则，只允许你的前端域名发起请求；也可以检查Referer头（虽可伪造，但能拦截大部分随机恶意请求）。
• 可选：前端额外加密：如果数据极度敏感（如银行卡号），可以在前端用后端提供的RSA公钥加密数据，后端用私钥解密，给传输安全加双重保障（一般场景下HTTPS已足够，此为合规或高敏感场景补充）。

3. 是否存在遗漏的潜在问题，或是我对该场景的实现逻辑存在误解？ #

你的核心逻辑是对的——绝对不能把敏感凭证暴露给前端，必须通过后端中转，但还有几个容易忽略的潜在问题：

• 外部API错误信息脱敏：调用外部API失败时，不要把外部API的原始错误信息返回给前端，尤其是不能泄露凭证相关内容，应返回自定义的友好错误提示（如“服务暂时不可用”）。
• 敏感数据及时清理：如果后端不需要长期存储用户敏感数据，处理完请求后要及时用unset()清理内存中的敏感字段，避免被其他脚本或日志意外泄露。
• 日志安全：禁止将用户敏感数据或API凭证写入日志，调试时也不要直接打印这类数据到日志或页面。
• PHP配置加固：关闭display_errors，避免错误信息泄露服务器路径或代码细节；设置open_basedir，限制PHP只能访问指定目录，即使出现路径遍历漏洞也无法访问其他目录。

内容的提问来源于stack exchange，提问作者Daniel Gray