laravelでapi keyをjsで使っても問題ないか

laravelで外部APIのキーを.envに定義して、
config/app.phpでconfig経由で呼び出せるようにしました。

jsファイルにこの設定したapiのkeyを渡し、ajaxで非同期処理をしたいのですが、セキュリティ的に問題ありますか？
(keyが外部に公開されてしまい良くないような記事を見ました。)

もし、問題がある場合は他に非同期でapiを呼び出す方法があるのでしょうか？

参考:
https://stackoverflow.com/questions/60033669/call-google-maps-api-key-from-services-file

回答1件

ベストアンサー

keyが外部に公開されてしまい良くないような記事を見ました。

ブラウザJavaScript用として提供されたAPIに対してキーが必要だったとしても、そのキーはそもそもHTMLに書いて使うのが前提のものです。公開しなければ使えません。

投稿2022/11/26 04:41

編集2022/11/26 04:42

maisumakun

総合スコア141374

回答へのコメント

kakedashikun

2022/11/26 04:50

回答ありがとうございます。勉強不足で申し訳ないのですが、ブラウザJavaScript用として提供されたAPIとはどうしたら判断できますか？例えば、こちらのapiもブラウザJavaScript用になるのでしょうか？ https://bankcode-jp.com/#try-api-section また、公開されても問題ないapi keyの場合は.envに含める必要はなく、jsファイルにベタ書きで問題ないのでしょうか？

maisumakun

2022/11/26 04:58 編集

> 例えば、こちらのapiもブラウザJavaScript用になるのでしょうか？はい、「CORSやJSONPで使える」ということは「ブラウザサイドから呼んで使うことを想定しているものである」ということです（なお、「ブラウザで使う専用のAPIキーが必要で、他のキーを公開するとまずい」という場合もありえます）。

kakedashikun

2022/11/26 05:25

詳しくありがとうございます！ CORS、JSONPという単語についてきちんと調べてみます！ブラウザ専用のAPIキーというのもあるのですね！きちんとドキュメントを読んで気をつけて使用しようしていこうと思います。回答ありがとうございました！！