来自 Dockerfile 的值可在“源”选项卡中搜索 - 如何保护环境变量？

Question

我有一个 React web 应用程序，我从部署到 Digital Ocean 的应用程序平台的Dockerfile中读取环境变量。 如果我搜索值的键，我可以看到它的所有荣耀。 我添加密钥时是否做错了什么？

这是 Dockerfile 中指定的密钥：

ARG REACT_APP_STRIPE_PUBLISHABLE_KEY=pk_live_51I...wzs

这是在 Chrome 的“来源”选项卡中搜索后的值：

, E = n(309)
, G = Object(j.a)("pk_live_51I...wzs}")

如何防止 web 访问此值？

Answer 1

Publishable API 密钥设计用于客户端，例如在浏览器或移动应用程序中。 这意味着任何人都可以看到它们，这不是您的代码的问题，它们只是以这种方式设计的，而且很安全。 您要保密的是 Secret API 密钥 (sk_live_123)！

Stripe 在此处提供了更多详细信息： https://stripe.com/docs/keys