ASP.NET Core MVC调用API最佳实践：选Controller中C#代码还是JavaScript？

你的认知没有问题：服务端通过C#调用API确实可以避免敏感逻辑、私有密钥等信息暴露在前端，是涉及鉴权、付费资源调用、核心业务逻辑操作时的首选方案。但确实存在大量更适合用前端JavaScript实现API调用的场景：

• 局部交互优化场景
  比如页面的搜索联想、无刷新分页、点赞/收藏/评论提交、表单实时校验这类轻量操作，用JS调用API不需要触发整页回发重定向，用户不需要等待整个页面重新加载，交互流畅度提升非常明显，同时也能降低服务端的视图渲染、带宽开销。
• 无敏感信息的公开API调用场景
  如果对接的是不需要传入你方私有密钥的第三方公开API，比如公共天气查询、IP归属地查询、开源词典服务等，直接用JS调用即可，不需要走后端Controller做中转，既减少了请求中转的延迟，也不会占用你服务端的出站请求资源。
• 依赖客户端专属参数的场景
  如果调用API需要传入只有前端才能拿到的参数，比如用户浏览器的时区、本地存储的用户偏好配置、设备定位/陀螺仪等传感器数据，用JS在前端获取参数后直接调用API是最直接的实现方式，不需要额外把这些参数提交到后端再转发。
• SPA模块开发场景
  如果你的ASP.NET Core MVC项目中包含SPA（单页应用）形态的模块，比如用Vue/React开发的管理后台、用户中心，这类模块本身就是前端路由、局部渲染的架构，所有数据交互用JS调用API是最符合开发规范的方案，不需要绕后端做中转，开发效率更高。

需要注意的是如果用JS调用需要鉴权的内部API，优先使用HttpOnly Cookie携带身份凭证，不要在JS代码中硬编码密钥、密码等敏感信息，也不要把身份凭证存在localStorage这类前端可读写的存储中，避免信息泄露。

内容的提问来源于stack exchange，提问作者Mr-DillinG