Heroku - 隐藏关键元素

Question

我已经部署了一个应用程序到Heroku，并使用了heroku config：set命令来设置环境变量，例如某些事物（例如Google Maps API）的键。当我查看页面并检查元素时，该键显示在控制台的url中。应该是这样吗？我的印象是，密钥应该隐藏起来，以防止其他人出于安全原因知道它们是什么。请指教。谢谢。

Answer 1

你不能。发送给客户的任何内容都不是秘密。这包括在JavaScript中使用的任何值。

但不用担心 - 大多数API（如Google地图）都使用公钥。而使用Oauth的应用程序只允许回调域的白名单。

其实在Google Maps Javascript API您的API密钥用于构建用于请求资源的URL，因此试图隐藏它将是一个真正的傻瓜差事。

然而，一些API会为从服务器端调用API提供客户机密。这些应该保密并放置在服务器上的ENV变量中。