Ключ стороннего сервиса положили в переменные окружения фронтенда
В файл окружения фронтенд-приложения добавили ключ стороннего платного сервиса с префиксом, который сборщик пробрасывает в клиентский код, и используют его прямо в компоненте.
Что здесь важно понимать?
- Переменные окружения читаются на сервере при каждом запросе, поэтому в клиентский бандл попадает только имя переменной, а не её значение.
- Значение попадает в бандл только в режиме разработки, продовая сборка такие переменные вырезает.
- Ключ будет виден, только если отключена минификация: минификатор шифрует строковые литералы.
- Значение попадает в бандл обычной строкой и видно любому, кто откроет исходники: секретам место на бэкенде.