使用汇总替换将环境变量传递到工兵的客户端是否安全？

Question

我在我的 sapper 和 sapper-environment 汇总配置中使用 replace 将环境变量传递给 sapper 中的客户端 - 这安全吗？有没有更好/更安全的方法来解决这个问题？

使用下面的配置：

    rollup.config.js

    const sapperEnv = require('sapper-environment');    

    export default {
        client: {
            input: config.client.input(),
            output: config.client.output(),
            plugins: [
                replace({
                    ...sapperEnv(),
                    'process.browser': true,
                    'process.env.NODE_ENV': JSON.stringify(mode)
                })
    ...

然后这允许我使用 stores.js 中的变量：

import { writable } from 'svelte/store';
import Client from 'shopify-buy';

const key = process.env.SAPPER_APP_SHOPIFY_KEY;
const domain = process.env.SAPPER_APP_SHOPIFY_DOMAIN;

// Initialize a client
const client = Client.buildClient({
    domain: domain,
    storefrontAccessToken: key
});

export { key, domain, client };

我尝试在服务器、js 中运行它并通过会话数据传递变量，但客户端无论我做什么，它们似乎总是返回“未定义”。

Answer 1

这里有两个问题 - a) 它是否安全，以及 b) 为什么值是 undefined？

第一个问题的答案是“不”。每当您在提供给客户端（或会话数据）的 JavaScript 中包含凭据时，您就可以将这些凭据提供给知道如何查找它们的任何人。如果您需要避免这种情况，您将需要您的服务器（或另一台服务器）代表经过身份验证的客户端发出请求。

至于第二部，可惜没有复制就很难说了！