私のSPAのみが私のパブリックレストAPIを呼び出すことを許可する方法は？

Question

my-example-domain.comで公開されているSPA（Angular based）とmy-example-domain.com/apiで公開されているrest API（Laravel 5.3に基づいています）を持っています。 すべてのAPIは公開されているため、認証されていないユーザーはAngular SPAとコールバックエンドAPIを使用できます。

私のSPAが私のバックエンドレストAPIを呼び出すことを許可したいと思います。例えば、誰もレストクライアント/カールを通してレストAPIを呼び出すことはできません。

この目標にはどのように到達できますか？ Laravelアプリにどのような認証を設定する必要がありますか？ Passportは正しいですか？

Answer 1

できません。

お客様のクライアントは一般公開されています。

ブラウザで実行されるため、すべてのHTTPリクエストがそのユーザー（つまり誰でも）によって検査されます。

あなたのクライアントからのリクエストを識別しようとするすべてのことを、誰でも閲覧して複製することができます。