Heroku - 隱藏關鍵元素

Question

我已經部署了一個應用程序到Heroku，並使用了heroku config：set命令來設置環境變量，例如某些事物（例如Google Maps API）的鍵。當我查看頁面並檢查元素時，該鍵顯示在控制檯的url中。應該是這樣嗎？我的印象是，密鑰應該隱藏起來，以防止其他人出於安全原因知道它們是什麼。請指教。謝謝。

Answer 1

你不能。發送給客戶的任何內容都不是祕密。這包括在JavaScript中使用的任何值。

但不用擔心 - 大多數API（如Google地圖）都使用公鑰。而使用Oauth的應用程序只允許回調域的白名單。

其實在Google Maps Javascript API您的API密鑰用於構建用於請求資源的URL，因此試圖隱藏它將是一個真正的傻瓜差事。

然而，一些API會爲從服務器端調用API提供客戶機密。這些應該保密並放置在服務器上的ENV變量中。