Branch.io Live Keys嵌入客户端JS代码是否安全？存在哪些风险？

核心结论 #

直接说：Branch.io的Live Keys本来就设计给客户端用，不属于机密级密钥，但也不是完全没风险，得清楚可能遇到的问题。

为什么能放心嵌在客户端？ #

• Branch的密钥分两类：Live Keys是给客户端SDK初始化用的，Secret Keys才是必须严格藏在服务器端的敏感密钥。Secret Keys能执行创建深度链接、验证签名这类高危操作，而Live Keys仅用于建立基础服务连接，没有任何敏感操作权限，官方设计逻辑就是允许它暴露在客户端代码里。
• 要使用Branch的客户端SDK，就必须嵌入Live Keys，这是正常使用流程，不用纠结“泄露”的问题。

潜在的安全隐患 #

虽说Live Keys没那么金贵，但还是有几个坑要留意：

• 数据统计失真：他人拿到你的Live Keys后，可生成伪造的Branch深度链接。用户点击这些假链接时，会在你的Branch后台产生大量虚假的点击、转化数据，干扰你对真实流量的判断。
• 资源配额耗尽：如果你的Branch账号有链接生成数量或API调用频次限制，攻击者用你的Live Keys批量生成链接，可能直接耗尽配额，影响正常业务使用。
• 品牌信誉受损：攻击者可以生成带有你品牌标识的虚假深度链接，诱导用户点击，虽然不会直接泄露用户数据，但会损害你的品牌可信度。

实用应对建议 #

• 无需刻意隐藏Live Keys：客户端代码本就可被逆向解析，花精力混淆加密纯属增加维护成本，没必要。
• 监控后台异常数据：定期查看Branch面板的点击、转化数据，若出现反常波动，及时排查原因，必要时联系Branch支持团队。
• 绝对保护Secret Keys：所有需要Secret Keys的操作，必须放在服务器端执行，严禁将Secret Keys嵌入客户端代码。

内容的提问来源于stack exchange，提问作者B.Djo