laravelでapi keyをjsで使っても問題ないか

Question

laravelで外部APIのキーを.envに定義して、
config/app.phpでconfig経由で呼び出せるようにしました。

jsファイルにこの設定したapiのkeyを渡し、ajaxで非同期処理をしたいのですが、セキュリティ的に問題ありますか？
(keyが外部に公開されてしまい良くないような記事を見ました。)

もし、問題がある場合は他に非同期でapiを呼び出す方法があるのでしょうか？

参考:
https://stackoverflow.com/questions/60033669/call-google-maps-api-key-from-services-file

Answer 1

keyが外部に公開されてしまい良くないような記事を見ました。

ブラウザJavaScript用として提供されたAPIに対してキーが必要だったとしても、そのキーはそもそもHTMLに書いて使うのが前提のものです。公開しなければ使えません。

Comments

[kakedashikun]

回答ありがとうございます。

勉強不足で申し訳ないのですが、
ブラウザJavaScript用として提供されたAPIとはどうしたら判断できますか？

例えば、こちらのapiもブラウザJavaScript用になるのでしょうか？
https://bankcode-jp.com/#try-api-section

また、公開されても問題ないapi keyの場合は.envに含める必要はなく、jsファイルにベタ書きで問題ないのでしょうか？

[maisumakun]

> 例えば、こちらのapiもブラウザJavaScript用になるのでしょうか？

はい、「CORSやJSONPで使える」ということは「ブラウザサイドから呼んで使うことを想定しているものである」ということです（なお、「ブラウザで使う専用のAPIキーが必要で、他のキーを公開するとまずい」という場合もありえます）。

[kakedashikun]

詳しくありがとうございます！

CORS、JSONPという単語についてきちんと調べてみます！

ブラウザ専用のAPIキーというのもあるのですね！
きちんとドキュメントを読んで気をつけて使用しようしていこうと思います。

回答ありがとうございました！！