在 Javascript 中访问 GitHub 机密

Question

我有一个网页作为与 API 交互的学校项目。 目前，API 密钥保存在 JavaScript 文件中，我意识到这是一个安全风险。 我将值存储在 GitHub 机密中； 我对如何使用 GitHub 工作流程使其成为环境变量有一个粗略的想法，但绝对不知道之后如何在 JavaScript 中访问它。 我该怎么做？

该项目完全是前端，并使用纯 JavaScript（和 jQuery，授予）构建； 我不知道如何做任何比 API 调用本身更复杂的后端工作。

Answer 1

不幸的是，在这里使用 GitHub Actions 的秘密来保证安全性并没有多大意义——为了使令牌不受源代码控制，因此任何人都不会立即看到它，只是浏览你的代码，当然，但除此之外：

如果您的项目只是前端，则 API 密钥需要位于提供给用户浏览器的代码中的某个位置。

即使您以某种方式对其进行混淆，他们也能够使用浏览器的网络检查器查看 API 密钥。