Rails API模式下，如何仅对服务器请求校验API密钥？

嘿，针对你提到的两个问题，我来一步步给你拆解清楚：

1. 能否设置API仅在请求来自服务器时校验API密钥？ #

首先得明确一点：没有绝对可靠的方法区分“来自服务器”和“来自客户端浏览器”的请求，因为客户端完全可以伪造请求头（比如Origin、User-Agent等）来模拟服务器请求。但我们可以结合业务场景，实现一个近似的逻辑——让白名单内的前端请求跳过API密钥校验，而其他请求（包括服务器端调用）必须校验密钥。

具体实现思路是：利用rack-cors已经配置的白名单域名，判断请求的Origin头是否在白名单内（合法的前端AJAX请求会携带这个头，且浏览器会遵守CORS规则），如果是则跳过校验；如果请求没有Origin头，或者Origin不在白名单内，就强制校验API密钥。

你可以在ApplicationController里添加全局的前置动作来实现：

# app/controllers/application_controller.rb
class ApplicationController < ActionController::API
  before_action :validate_api_key, unless: :trusted_frontend_request?

  private

  # 判断是否是可信的前端请求（Origin在rack-cors白名单内）
  def trusted_frontend_request?
    # 这里的ALLOWED_ORIGINS要和你rack-cors配置里的域名保持一致
    ALLOWED_ORIGINS = ['https://your-frontend-domain.com', 'http://localhost:3000']
    request.headers['Origin'].present? && ALLOWED_ORIGINS.include?(request.headers['Origin'])
  end

  # 校验API密钥
  def validate_api_key
    api_key = request.headers['X-API-Key']
    # 建议把API密钥存在Rails credentials里，不要硬编码
    unless api_key.present? && api_key == Rails.application.credentials.api_server_key
      render json: { error: 'Unauthorized: Missing or invalid API key' }, status: :unauthorized
    end
  end
end

这种方案虽然不是绝对安全，但在大多数业务场景下足够用：合法的前端请求会被CORS允许且无需密钥，而服务器间的调用、非法的客户端请求必须携带正确的密钥才能访问API。

2. rack-cors gem仅能防护来自非白名单域名的AJAX请求，这个理解正确吗？ #

这个说法不完全准确，得纠正一下：rack-cors的核心作用不是“防护”，而是规范浏览器的跨域AJAX行为，它只对浏览器发起的AJAX请求生效，具体细节如下：

• 对于白名单内的域名：浏览器会允许前端AJAX请求跨域访问你的API，rack-cors会返回正确的CORS响应头（比如Access-Control-Allow-Origin）。
• 对于非白名单内的域名：浏览器发起AJAX请求前会先发送OPTIONS预检请求，rack-cors会返回不允许的响应，浏览器就会阻止后续的实际请求（这就是你感知到的“拦截非白名单AJAX请求”的效果）。
• 但对于非AJAX请求（比如curl、Postman、服务器端发起的请求）：浏览器的同源策略不生效，rack-cors不会对这些请求做任何拦截，因为这些请求不会触发浏览器的CORS校验流程。

简单来说：rack-cors管的是浏览器端的跨域规则，不是服务器端的请求拦截。如果要防护非浏览器的请求，还是得靠API密钥、IP白名单等其他安全手段。

内容的提问来源于stack exchange，提问作者user3325749