Mantenere segrete le chiavi API
Chiunque può leggere il codice di un widget pubblicato, quindi non scriverci mai una chiave API, una password o un token. Dove conservare il segreto dipende da chi è.
La tua chiave: un input privato
Quando il tuo widget usa una sola chiave per tutti, come quella del tuo account presso un servizio meteo, conservala come input privato. Solo il tuo widget può leggerla. Nessuno può vederla, nemmeno tu una volta salvata, e chi aggiunge il tuo widget non deve compilarla.
- Nello Studio dei widget, scegli File > Input.
- Apri la scheda Input privati e fai clic su Crea nuovo segreto.
- Inserisci un Nome, come
API_KEY, e il Valore, poi fai clic su Aggiungi segreto.
Leggila con useInputs, come qualsiasi altro input, e inviala all’API in un’intestazione:
import { useFetch } from "~lib/use-fetch";
import { useInputs } from "~lib/use-inputs";
const { API_KEY } = useInputs();
const { data } = useFetch<Weather>("https://api.example.com/weather", {
headers: { "X-Api-Key": API_KEY },
});
Da sapere:
- Non puoi vedere né modificare un valore salvato. Per cambiarlo, eliminalo e aggiungilo di nuovo.
- Le modifiche hanno effetto subito, su ogni cornice, senza pubblicare. Tutte le versioni del tuo widget condividono gli stessi input privati.
- I remix non li ricevono. Quando qualcuno crea un remix del tuo widget, deve aggiungere i propri.
La chiave di ciascuno: un input sensibile
Quando ogni persona ha bisogno della propria chiave, per esempio per vedere il proprio account, chiedila con un input di tipo Sensibile. Funziona come qualsiasi altro input, ma nasconde ciò che viene digitato, come un campo password.
Accedere a un servizio
Per i servizi a cui le persone accedono con un account, come Google, GitHub o Spotify, usa invece un’integrazione. Accedono una volta sola, e il tuo widget ottiene un token per chiamare il servizio per loro conto.