我有一个restful.war，它提供了宁静的呼叫并实现了http basic authc。

有一个a.war消耗了restful.war。

我想从restful.war的前端（例如jsp/html/js）调用a.war，在这种情况下，我需要像下面那样在a.war的前端编写代码：

$.ajax({

    url: '<restful.war url>',...
    beforeSend: function (xhr) {
        xhr.setRequestHeader('Authorization','Basic xxxx');
    },...
});

或

$.ajax({

    url: '<restful.war url>',getbase(user,password));
    },...
});

但是，我有一些问题：

1. 在前端页面（jsp / html / js）中写用户/密码很不好，因为每个人都可以从前端页面看到他们，例如来自浏览器的Web开发人员工具，因此我们应该避免这种用法，对吧？
2. 如何从cookie / localStorage获取基本信息，而不是在前端页面上编写基本信息？我认为这与#1相同，我们也应该避免使用它，对吧？
3. 所以我们不应该从前端调用Restful api，而应该在后端调用，对吧？