高德地图web端key防止泄露

高德地图web端key防止泄露

 

加上域名拦截后的显著效果，可能是key被泄露了，需要验证拦截域名

高德地图web端的key可能被泄露，调用高，但是又考虑不更换不删除的情况下，通过设置域名可以解决吗？

高德 Web端（JS API）Key，域名白名单（*.mytest.com）的作用是：高德服务端会校验浏览器请求带来的 Referer/来源域名，不在白名单的站点调用会报错（如 INVALID_USER_DOMAIN / Referer校验失败），别人拿到 Key 也难直接盗用配额。

但要注意几点：
1. *.mytest.com 是通配子域，只保护 xxx.mytest.com，且依赖浏览器发送 Referer。若 Referer 被伪造/请求不走浏览器校验链路，或你自有子域被控，仍可能受影响。不要配成 *。

2. 如果是 2021-12 后新 Key，还应配合 安全密钥 securityJsCode（或按官方推荐的代理/服务转发方式），这是更强的安全加固。

3. 如果页面里有“逆地理/路线/搜索”等走服务端 REST（Web服务 Key），那类 Key 应配 IP白名单，不是域名白名单；不要混用 Web端 JS Key 调 REST。

4.域名白名单+安全密钥能防大部分盗用和配额消耗，但前端 Key 本质上会暴露，最稳妥还是：按需轮换、监控调用量/异常域名、敏感服务放后端代理、加配额告警。

所以：不更换/不删除的情况下，设置并收紧域名白名单（精确到域名/必要子域，加 securityJsCode）是正确且必要的措施，能显著降低风险，但不是绝对消除风险。