Nodejs中纯粹用JSON进行前后端交互的模式，如何防止被抓取数据，盗用API？

在Node.js应用中，如果你使用纯JSON进行前后端交互，并且希望防止数据被第三方抓取或API被滥用，可以采用以下几种方法：

1. 使用API密钥认证

原理：每个合法的客户端（如前端应用）都有一个唯一的API密钥。每次请求API时，都需要提供这个密钥。服务器端会验证密钥的有效性。

示例代码：

const express = require('express');
const app = express();

// 假设这是你的API密钥存储
const API_KEYS = {
    'my-app': 'abc123',
};

app.use(express.json());

app.get('/data', (req, res) => {
    const apiKey = req.headers['x-api-key'];
    
    if (!apiKey || API_KEYS[apiKey] !== 'abc123') {
        return res.status(403).json({ error: 'Unauthorized' });
    }

    // 返回数据
    res.json({
        message: "Hello World",
        data: [/* 你的数据 */]
    });
});

app.listen(3000, () => console.log('Server running on port 3000'));

在这个例子中，客户端需要在请求头中包含x-api-key字段，其值为有效的API密钥。服务器会检查该密钥是否有效，如果无效，则返回403错误。

2. 使用OAuth 2.0认证

原理：OAuth 2.0是一种更为复杂的认证机制，通常用于更严格的场景。它允许用户授权第三方应用访问他们的资源，而无需共享密码。

示例代码：

由于OAuth 2.0实现较为复杂，通常会使用现成的服务如Auth0、Firebase Auth等。但如果你想要自定义实现，可以考虑使用Passport.js库，它支持多种认证策略。

const passport = require('passport');
const LocalStrategy = require('passport-local').Strategy;

passport.use(new LocalStrategy(
    function(username, password, done) {
        // 这里应该有你的用户验证逻辑
        if (username === 'user' && password === 'password') {
            return done(null, { id: 1, username: 'user' });
        }
        return done(null, false);
    }
));

app.post('/login', 
    passport.authenticate('local', { session: false }),
    (req, res) => {
        res.json({ token: 'your-token-here' });
    }
);

app.get('/data', passport.authenticate('bearer', { session: false }), (req, res) => {
    res.json({ message: 'Hello World' });
});

这里使用了LocalStrategy作为示例，实际应用中应根据具体需求选择合适的策略。

结论

以上两种方法都可以有效地防止数据被抓取或API被滥用。API密钥适合简单的场景，而OAuth 2.0则适用于需要更高级别的安全性和权限管理的应用。