來自 Dockerfile 的值可在“源”選項卡中搜索 - 如何保護環境變量？

Question

我有一個 React web 應用程序，我從部署到 Digital Ocean 的應用程序平台的Dockerfile中讀取環境變量。 如果我搜索值的鍵，我可以看到它的所有榮耀。 我添加密鑰時是否做錯了什么？

這是 Dockerfile 中指定的密鑰：

ARG REACT_APP_STRIPE_PUBLISHABLE_KEY=pk_live_51I...wzs

這是在 Chrome 的“來源”選項卡中搜索后的值：

, E = n(309)
, G = Object(j.a)("pk_live_51I...wzs}")

如何防止 web 訪問此值？

Answer 1

Publishable API 密鑰設計用於客戶端，例如在瀏覽器或移動應用程序中。 這意味着任何人都可以看到它們，這不是您的代碼的問題，它們只是以這種方式設計的，而且很安全。 您要保密的是 Secret API 密鑰 (sk_live_123)！

Stripe 在此處提供了更多詳細信息： https://stripe.com/docs/keys