在使用API的十年时间里, 让我感到最为反感的情况包括将密钥直接放置在公开的代码仓库里。

TokenPocket这个API, 它本身的复杂程度其实是并不高的。可是因为它被使用的人的数量非常众多, 所以在这个过程中发生了各种各样的失败和问题的情况就更多的多了。

今天呢, 就要把这几个非常关键的、关系到根本的问题, 给你清清楚楚地讲明白。

TokenPocket密钥怎么防

我所见过的那些最为离谱的情况之中, 有一位被称为老哥的人物, 他直接将秘钥字符串给放置到了前端JavaScript代码里头去, 另外他还专门在那儿添加了一行注释文字, 这个注释文字所表达的意思仅仅是说这只是一个临时的使用办法而已。

只是暂时用一用, 这一用就是三年之久。

关于密钥这个东西, 它其实就和家门钥匙是同一回事, 你绝不可能把它贴在小区的公告栏上面, 然后接着跟邻居说只是一下子放着并且也没有人会去拿。

存环境变量，服务器端调用，这是基本操作，不是高潮。

还有, 权限设置方面建议不要给予太过充分的授权。

竟然只是让你去读一下那个余额的数据, 但是你却非要额外地把删除接口所对应的权限也给勾选上, 这究竟是怎么想呢。

这种情况, 实际上就好像老板仅仅安排你去执行一个非常简单的倒垃圾的任务, 但是你却采取了极其过度的行动, 把人家拥有的整栋大楼都给卖掉处理了。

最小权限原则, 这已经是一个流传了很长时间的旧事了。但是, 还是没有人愿意去听这个话的。

API调用频率怎么控

TokenPocket API存在速率限制的设定，如果是超过了限制的话, 那么服务器会直接返回给你状态码为429的响应。

你千万不要跟我提“我再加一个重试的步骤”这种话, 你去尝试重试的话就是毫无意义的举动, 因为服务端的限流机制存在的主要原因就是为了限制你随意使用, 让你不要过度消耗资源。

请做一个简单的本地队列, 对于那些能够进行缓存处理的内容, 千万不要采用实时拉取的方式, 别像个傻子一样每秒打十次请求,导致把人类的服务器给搞宕机了。

具体的数值请您参照相关文档进行查看, 因为不同的端点所对应的具体数值是不一样的。

但记住一个糙规矩：能批量拉的别一条条戳。

我本人在过去曾经负责过一个项目, 该项目因为某一个具体的方面没有做好, 导致在流量高峰期服务器直接崩溃了, 客户的电话打得让人非常焦虑, 以至于当时内心产生了非常想把笔记本电脑从窗户往外扔出去的剧烈冲动。

仅仅就只有这些东西罢了。

API这个东西其实并不难, 难的在于不要以为自己就是天才。

你要老老实实地去看文档, 一定要把密钥锁好, 要把频率控制住, 这样就能够减少半夜被叫醒然后挨骂的次数。