处理用于扣除积分（金钱）的客户端API密钥

问题的一个显而易见的解决方案（通常）是拥有一个管理API密钥的服务器（因此不允许直接移动应用程序 - > API访问）。这样，中间服务器将管理API密钥，对于中间应用程序的所有调用者而言，API密钥可以相同或不同。此应用程序可以对其调用者进行身份验证，并可能根据登录的用户决定使用哪个API密钥。这可能会非常容易出错，尤其是从长远来看，如果多人或团队开发它的话。此外，这只是进一步解决问题。 :)

但是，说你想要一个移动应用程序能够安全地与API交谈。为什么密钥必须在应用程序中进行硬编码？

对此的标准解决方案是下载应用程序的用户在运行时从API获取自己的API密钥。所以没有设置密钥，因为你在API方面不知道你的用户是谁。一旦有用户（从移动应用程序或其他任何应用程序）创建一个API密钥，移动应用程序就可以按照自己的需要存储它（这是一个可以蠕动的蠕虫，长话短说，在移动平台的证书商店中是最好的）。

您的困惑可能来自于未决定API密钥的确切内容。如果它是一个用户（最终用户有自己独特的API密钥），那么就像上面描述的那样，他们应该单独获得他们的密钥。另一方面，如果API密钥标识你的客户端（移动应用程序制造商），那么他们需要一个服务器，否则它将不安全。