如何限制API仅允许自有应用访问？已实现JWT仍遇GET权限问题

你的需求很典型——要把API仅限自家应用调用，不让公众随便访问，又不需要用户登录。下面几个标准方法可以解决这个问题，按实现复杂度和安全性排序：

1. 应用级API密钥验证 #

这就是你提到的「应用级用户名/密码」的标准化实现，操作起来很直接：

• 给你的网站分配一个唯一的API密钥（比如随机生成的长字符串）
• 前端发起AJAX请求时，在请求头里带上这个密钥，比如：

  fetch('/api/your-endpoint', {
    headers: {
      'X-API-Key': 'your-unique-api-key-here'
    }
  })
  

• 后端收到请求后，先校验X-API-Key是否与预存的合法密钥匹配，不匹配直接返回403。

⚠️ 注意：绝对不要把API密钥硬编码在前端源码里！可以通过后端渲染页面时注入（比如模板引擎渲染到全局变量），或者用环境变量在构建时注入，避免被爬虫或抓包工具轻易获取。

2. Origin校验 + CORS配置 #

利用浏览器的同源策略，结合CORS来限制请求来源：

• 后端校验请求头里的Origin字段，只允许你自家的域名（比如https://your-official-site.com）
• 在后端配置CORS规则，设置Access-Control-Allow-Origin为你的域名，拒绝其他域名的跨域请求。

这种方法能有效拦截浏览器端的非法跨域请求，但要注意：如果有人用Postman、curl等工具直接伪造Origin头，还是能绕过。所以建议和API密钥一起用，双重保障。

3. 短时效会话令牌 #

如果担心API密钥泄露风险，可以改用短时效的一次性令牌：

• 用户访问你的网站时，后端生成一个有效期很短（比如5分钟）的令牌，返回给前端
• 前端每次AJAX请求都带上这个令牌（比如放在Authorization: Bearer <token>头里）
• 后端验证令牌的有效性和过期时间，无效则拒绝请求。

就算令牌被抓包，过期后也无法复用，安全性比固定API密钥更高，实现起来也不算复杂。

4. 请求签名（HMAC） #

对安全性要求更高的场景，可以用请求签名机制：

• 前后端约定一个密钥（只在后端和安全的前端构建环节存储）
• 前端发起请求时，对请求参数、时间戳等内容用HMAC算法生成签名，放在请求头里
• 后端收到请求后，用同样的参数和密钥重新计算签名，对比是否一致，同时校验时间戳防止重放攻击。

这种方式几乎无法被伪造，但实现复杂度稍高，适合涉及敏感数据的API。

推荐组合方案 #

如果是普通场景，用API密钥 + Origin校验 + IP白名单就足够了：

• IP白名单：在服务器或CDN层面配置，只允许自家服务器/CDN的IP访问API，进一步缩小访问范围
• 前两者拦截大部分非法请求，IP白名单作为最后一道防线。

内容的提问来源于stack exchange，提问作者gin93r