在前端调用 WooCommerce、WordPress 和 CoCart 端点是否安全？我需要你的意见

Question

问题

我有一个关于安全的问题。我正在 Flutter 中构建一个移动网上商店。在前端中进行这些 API 调用是否不好？例如，我应该在 Node 中为其创建一个单独的后端吗？

我还了解到您可以使用 PHP 在 WordPress 中“创建”自己的端点。那又怎样呢？这是否会使其更安全？

我使用哪些端点？

现有的 WooCommerce API 用于在 WooCommerce API 上检索产品、获取类别以及创建订单。在CoCart API上，您可以检索购物车、添加到购物车、删除购物车等...

对于Mollie支付API，我认为最好做一个后端。

我的看法是，

我认为在前端调用这些端点是可以的。我已经看到 WooCommerce 的 Flutter 包可以调用这些端点。是的，我确实在标头中发送了基本身份验证......所以我不确定这有多“危险”。

但在另一边。 “黑客”能做什么？他们可以看到所有产品，我想这很好。我不确定他们是否可以创建订单...他们至少不能偷钱:)

参考代码

作为参考，这里有一段调用端点时的代码：

Future<Product> getProductById(int productId) async {
    String basicAuth =
        'Basic ' + base64Encode(utf8.encode('$username:$password'));
    print(basicAuth);

    var response = await http.get(
        Uri.parse(
            'https://websitename/wp-json/wc/v3/products/${productId}'),
        headers: <String, String>{'Authorization': basicAuth});
    if (response.statusCode == 200) {
      return Product.fromJson(jsonDecode(response.body));
    } else {
      throw Exception('Failed');
    }
  }

让我知道你的意见！

Answer 1

在谈论安全性时，主要问题是网络请求的内容。如果您的用户名&上面代码中的密码是需要保密的，不能在客户端。

如果您将代码发送给用户，用户会收到它并可以在跟踪网络请求时检查发生了什么。

您始终可以跳过 UI、调试网络请求并获取通过该请求发送的所有详细信息，并使用 cURL 或其他任何内容发送这些请求。然而，客户端必须以某种方式进行身份验证，这是“不公开”URL 中的一个广泛主题，您只需要有确切的“随机 ID”即可访问资源（例如，youtube 或许多文件共享服务将其用作“不公开”链接，这意味着这不会出现在搜索结果中，但如果您有确切的链接，您将进入 oAuth2 的资源，您可以了解有关 此处 和
您也可以查看这篇文章，其中介绍了 基于令牌的身份验证。