集成PayPal Subscription API时，在HTML中暴露Client Secret是否安全？

你当前使用的PayPal SDK加载代码：

<script src="https://www.paypal.com/sdk/js?client-id={{client_id}}&vault=true&intent=subscription"></script>

• 先澄清：你代码里填的是Client ID，不是Client Secret——这俩是完全不同的权限凭证，别搞混了。
• Client ID本身就是公开的，PayPal的SDK设计就是让它出现在前端代码里，完全安全。它的作用只是让PayPal识别你的应用身份，没有权限发起任何敏感操作（比如扣款、调取用户隐私数据）。
• 真正需要严格保密的是Client Secret，这个绝对不能放在前端代码里，只能在你的后端服务器上使用，用来和PayPal的API做私密交互（比如验证webhook通知、创建订阅的服务器端逻辑等）。一旦泄露，别人就能冒充你的应用执行敏感操作，风险极大。
• 你当前的代码写法是正确的，就保持只放Client ID就行，千万别把Client Secret加进去。

内容的提问来源于stack exchange，提问作者ccxlv