是否可基于Parse SDK开发带认证的公开API，且无需对外提供DB application id与REST API密钥？

该需求完全可实现，你无需向第三方公开你的Parse Application ID、REST API Key等核心数据库凭证，所有逻辑可通过Parse的原生能力完成。

核心实现逻辑 #

依托Parse自带的云函数（Cloud Functions）能力，你可以把所有listing创建、权限校验的逻辑封装在服务端运行的云函数中，第三方仅需调用你开放的自定义云函数接口即可完成数据同步，全程不会接触到你的底层核心密钥。

具体实现步骤 #

• 编写处理listing创建的自定义云函数
  云函数运行在你的Parse服务端内部，可直接通过Master Key操作数据库，相关敏感凭证不会对外泄露。参考代码示例：

Parse.Cloud.define("syncThirdPartyListing", async (request) => {
  // 1. 先进行第三方身份校验，逻辑见下
  // 2. 解析第三方传入的listing字段
  const { title, price, stock, description, coverUrl, thirdPartyId } = request.params;
  // 3. 内部创建Listing条目
  const Listing = Parse.Object.extend("Listing");
  const newListing = new Listing();
  newListing.set({
    title,
    price,
    stock,
    description,
    coverUrl,
    thirdPartySourceId: thirdPartyId
  });
  // 服务端内部用Master Key保存，无需对外暴露
  await newListing.save(null, { useMasterKey: true });
  return {
    success: true,
    listingId: newListing.id,
    msg: "同步成功"
  };
});

• 独立实现第三方身份认证体系
  你可以自己维护一套和Parse核心密钥完全无关的第三方凭证体系，无需对外泄露任何Parse相关配置：
  • 为每个接入的第三方单独分配唯一的accessKey和secretKey，凭证单独存储在你的数据库中
  • 要求第三方调用云函数时，携带accessKey、当前时间戳、以及签名：签名规则可约定为将请求参数、时间戳拼接后用secretKey做哈希加密
  • 在云函数入口优先校验签名合法性、时间戳是否在5分钟有效期内，校验不通过直接返回错误，还可根据需求添加接口限流、权限范围控制逻辑
• 对外仅暴露云函数调用规则
  给第三方的接入文档只需要说明云函数的请求地址、参数格式、签名规则，以及分配给他们的accessKey和secretKey即可，全程不会涉及你的Parse核心密钥。

注意事项 #

• 所有涉及Master Key、Parse核心配置的操作必须全部放在服务端云函数内完成，禁止在任何前端、第三方可接触到的代码中写入相关敏感信息
• 签名校验建议添加随机数参数，进一步避免重放攻击
• 云函数内需添加参数合法性校验、异常捕获逻辑，避免非法请求导致服务异常

内容的提问来源于stack exchange，提问作者Arinton Akos