无后端场景仅用前端实现安全调用带凭证外部API是否可行？

不可能仅通过Vue、React等前端框架或纯静态站点实现该需求，必须引入服务端逻辑处理敏感凭证请求

• 所有纯前端代码最终都会下载到用户浏览器本地运行，无论怎么做代码混淆、加密处理，只要需要发起网络请求，浏览器开发者工具的「网络」面板必然可以抓到完整的请求URL、参数信息。你用到的https://apidomain/service/login/{{username}}/{{password}}格式的接口，凭证直接写在请求路径中，完全没有隐藏可能。
• 前端环境不存在可以安全存储敏感凭证的机制，任何写在前端代码、环境变量、本地存储里的凭证，用户都可以通过调试手段直接获取。

如果不想部署、维护完整的后端服务，可以用无服务器（Serverless）函数实现代理逻辑，仅需要编写少量代码，不需要管理服务器运维：

1. 前端仅把用户输入的文本提交到无服务器函数的调用地址
2. API凭证存储在无服务器平台的环境变量配置中，永远不会暴露到前端侧
3. 无服务器函数内部拼接完整的登录API地址，完成登录、提交用户输入数据的逻辑，再把处理结果返回给前端

该方案本质还是用到了服务端能力，但不需要自行部署、运维传统后端服务，开发和部署成本很低。

内容的提问来源于stack exchange，提问作者zippo-lighter