SvelteKit静态应用中.env文件的放置位置及有效性问询

方案可行性：完全可行 #

Cloudflare Turnstile的站点密钥本身就是公开可暴露的，静态站点使用它完全符合设计要求，只要你确保私有密钥（用于后端验证）不泄露即可。

.env文件的正确位置 #

直接将.env文件放在项目根目录，和package.json、svelte.config.js等核心配置文件同级。

配置步骤 #

1. 在根目录创建.env文件，变量名必须以PUBLIC_开头（SvelteKit仅会将带此前缀的环境变量注入客户端代码）：

   PUBLIC_TURNSTILE_SITE_KEY="your-official-site-key"
   

2. 在Svelte组件中调用密钥：

   <script>
     const siteKey = import.meta.env.PUBLIC_TURNSTILE_SITE_KEY;
   </script>
   
   <div class="cf-turnstile" data-sitekey={siteKey}></div>
   

关于测试密钥的问题 #

你遇到的验证无法完成的问题，和.env配置无关——Turnstile的测试密钥仅用于开发阶段的功能调试，它的逻辑是允许任何提交通过，但不会触发真实的验证流程。要完成正常验证，必须替换为正式的站点密钥，同时确保后端（比如Cloudflare Workers、你的服务器）使用对应的私有密钥完成校验。

注意事项 #

• 绝对不要将Turnstile的私有密钥放入.env或任何客户端可访问的代码中，私有密钥只能在后端环境使用。
• 将.env添加到.gitignore文件，避免误提交到版本库（即使站点密钥公开，这也是良好的开发习惯）。
• 静态构建时，SvelteKit会自动将PUBLIC_前缀的变量替换为实际值，构建后的静态文件中会直接包含站点密钥，这是安全且符合预期的。

内容的提问来源于stack exchange，提问作者lia07