トークンベースの認証セキュリティについて

認証済みサービスをトークンで読み取っています。ユーザーがarcgisサービスを使用するにはトークンを取得する必要があることを理解しています。例：https : //domain.com/arcgis/rest/services/myMap/MapServerは私のサービスです。サーバー管理者がこのようなトークンをくれました。トークン= AJSJK876548sjjs7

そして、私はこのhttps://domain.com/arcgis/rest/services/myMap/MapServer?token=AJSJK876548sjjs7のような私のjavascript apiでこのサービスを使用しました

ユーザーはブラウザーからアプリケーションソースを表示し、トークンを取得できます。そして彼/彼女は私のサービスにアクセスできます。これはセキュリティ上の問題ですか？

はい、セキュリティ上の問題です。

一般的な解決策は、プロキシ（クライアントが呼び出すことができるサービスを記述し、次にエンドポイントを呼び出す）を経由することです。クライアントは、トークンを除くすべての引数を使用してサービスを呼び出します。サービスは、渡されたすべての引数をコピーし、トークンを追加し、エンドポイントを呼び出し、クライアントに応答を返します。