Eine öffentlich zugängliche Single-Page-Web-App (clientseitig) ruft eine HTTP-API eines Drittanbieters auf, die einen API-Schlüssel in einem HTTP-Header erfordert. Der API-Schlüssel des Unternehmens darf Endbenutzern nicht zugänglich gemacht werden. Welche kostengünstige Lösung stellt sicher, dass der API-Schlüssel geheim bleibt?

Die korrekte Lösung ist, eine öffentliche REST-API mit Amazon API Gateway zu erstellen und eine HTTP-Integration zu konfigurieren, die die Drittanbieter-API aufruft und den API-Schlüssel des Unternehmens in die Integrationsanforderungs-Header einfügt. Dies ist kostengünstig, da API Gateway den Aufruf direkt an den Drittanbieter weiterleitet, ohne dass eine zusätzliche Lambda-Funktion erforderlich ist. Der API-Schlüssel bleibt sicher, da er nur im Backend von API Gateway konfiguriert ist und niemals dem Endbenutzer der Single-Page-Web-App offengelegt wird. Die Optionen, die eine private REST-API vorschlagen, sind falsch, da die Single-Page-Web-App öffentlich zugänglich ist und eine öffentliche Schnittstelle benötigt, um die API aufzurufen. Die Optionen, die eine Lambda-Proxy-Integration verwenden, sind zwar funktionsfähig, aber weniger kostengünstig, da sie die Ausführung einer Lambda-Funktion für jeden Aufruf erfordern, was bei einer direkten HTTP-Integration vermieden werden kann.