为什么前端直接调用大模型？

[phobal]

一直有个困惑，在使用大模型的 Open API 的时候通常都需要经过后端去请求，为什么不能直接由前端请求呢？我知道是出于安全考虑，不能直接将 APIKEY 给暴露在前端。但是这些大模型厂家可以添加一个安全域名的功能，只有 refer 是安全域名中的域才能使用就可以解决这个问题了呢，翻遍了流行的大模型 API 文档都没有这类的配置，请问下还有别的原因么？

[mandex]

得分应用场景吧。
我就是前端直接调用大模型的 。
我现在做的项目只在公司内网使用，是个 electron 的客户端。登录的时候后端发一个 key ，直接拿去调用了。
公司员工也没有这么无聊，不会偷我的 key ，偷了就偷了，没多大损失。

[phobal]

大家轻喷啊，你们就不想要一种既安全又方便的调用方式？我当然知道其中的风险，只是抛出问题来让大家分析下有没有好的办法，因为这些大模型 API 都支持了跨域访问，既然都支持跨域了，那么再想想别的办法，比如像图片防盗链什么的不也能做到安全么。

[CHTuring]

@phobal #22 别想那么多，只要是前端发起，一切都能伪造。

[zhw2590582]

你是对的，请问你的网站是多少

[shakaraka]

@phobal #22

可以的。你的网址是多少？我上去看看

[monkeyWie]

有没有可能市面上很多 llm 工具都是支持客户端直接调用的，当然前提是 API 要支持跨域使用

[newaccount]

这玩意如果能防伪，那以后都不会有钓鱼邮件了

[chenluo0429]

思而不学则罔

[deplives]

@phobal #22 你觉得图片防盗链是安全的？？？

[relsoul]

op 有两个基础的“不合格”程序员问题

1. APIKEY 是否能存前端内
2. refer （ HTTP ）知识不过关


针对第一点
楼上的各位的回答出于的想法是 APIKEY 存在前端代码内（哪怕是加密也是无效的）

目前有一些开源的聊天工具也是把 APIKEY 存前端内，但是这个 APIKEY 并不是在编译时嵌入的，而是由用户手动输入保存在 localstorage ， 这样做可以**一定**程度上减少暴露风险，但是没办法杜绝 XSS 攻击。

针对第二点
HTTP 请求是可以伪造的，建议了解一下什么是 HTTP Header ，HTTP 协议是怎么发起的，非浏览器环境如何发起一个 HTTP 请求。

[daybreakfangyang]

前端=开源

[fun201108]

标题应该是：为什么前端不直接调用大模型？

用 app 就行了，反正 app 也是前端