GitHubPagesをフロントに使うときのWebAPIについて

Question

知りたいこと

今個人開発で簡単なToDoリストを作っています。

フロント：GitHubPages(React)
バックエンド：Render（Flask+SQlite)

フロントとバックエンド間はAPIで繋げています。

この場合に、フロント⇔バックエンド間においてセキュリティ面など気を付けることなどはありますでしょうか？
特に、気になるのはGitHubPagesだと環境変数の設定などが出来ないのでAPIのURLが丸裸になってしまっていることです。

背景、状況

質問するに至った経緯と致しましては、当方開発を始めたばかりの初心者であり、APIに関してもあまり知識がない状態です。
なんとかデプロイをしたい！と辿り着いた先がこの構成でした。
そのため、これよりも簡単な方法があるよ！などありましたら知りたいです。

よろしくお願い致します。

Answer 1

フロント側を見たらURLが丸見えなのは普通だと思いますので、問題無いと思います。

まさかと思いますが、フロント側コードに、バックエンドアクセス用のAPIキー(何でもできるアクセス権付与)を埋め込み、Flask側に情報をリクエスト、みたいなのは考えてませんよね？

もしそんな感じなら、セキュリティ的にNGなので設計を見直しましょう。

認証が必要な情報と、不要な情報に分け、不要な情報を表示し、認証が必要な情報は、ユーザ側からの入力(例えばログイン処理ようのIDとパスワード)みたいなのを使って認証してから権限確認して、権限に見合った情報を表示するような感じが良いと思います。

ちなみに、APIというのはRESTful APIのことであってますか？その前提で書いちゃいましたが・・・。