如何保护伙伴凭据从最终用户浏览器的API调用

Question

球队，

我有一个要求，像我必须向我的伙伴（第三方）门户网站支持直接通过使API调用，从他们的浏览器证书给我们打电话。

e.g.) Partner portal browser makes AJAX Call with below:

      URL      ---> https://example.com/request
      HEADER   ---> user_id   : foo
      HEADER   ---> password  : mypasswd
      payload  ---> {
                       "request_time" : 2232876435,
                       "request_name" : "get_user_info",
                       ...
                       ...
                    }

而他们的浏览器/门户网站是访问/通过他们的不受信任的用户使用。所以，现在的问题是，因为呼叫是从前端;最终用户可以轻松地检查浏览器中看到我们已经给我们的合作伙伴在我们的身边，授权证书沿着网络API调用。

所以我打算问他们加密在其门户后端服务器的负载和标头，并呈现像下面的门户网站中的加密信息给予建议，以合作伙伴。

Encrypt (payload)   using mypasswd.
Encrypt (password)  using request_time  <NOW OPTIONAL TO PASS>

所以，现在，

e.g.) URL      ---> https://example.com/request
      HEADER   ---> user_name : foo
      HEADER   ---> password  : ENCRYPTED<mypasswd>  <-- OPTIONAL
      payload  ---> ENCRYPTED< 
                       {
                       "request_time" : 2232876435,
                       "request_name" : "get_user_info",
                       ...
                       ...
                       } 
                    >

因此，在我们的系统，我们将解密的有效载荷与USER_ID mypasswd检索foo。因此，如果解密成功，则该请求来自有效的资源。

现在结束门户用户无法了解从浏览器检查的要求。

笔记：