关于Contentful API密钥运行时使用必要性及安全性的技术问询

问题1：是否必须在运行时使用Contentful API密钥？是否仅需在构建阶段调用Contentful接口？ #

这完全取决于你的应用架构需求：

• 如果你的JavaScript应用是纯静态预编译模式（比如基于Gatsby、Next.js静态生成方案），所有需要展示的Contentful内容都在构建阶段拉取并打包到静态输出目录，运行时无需再动态获取内容，那你完全不需要在运行时引入任何Contentful API密钥，仅需在构建阶段完成接口调用即可。此时建议使用Contentful的Management API密钥（私密密钥，仅限构建环境配置）或限制了访问范围的Delivery API密钥来拉取数据。
• 如果你的应用存在运行时动态内容需求（比如用户触发的内容加载、实时更新的内容块），那必须在运行时使用Contentful的Delivery API密钥发起接口请求，这种场景下密钥会暴露在前端，但Delivery API本身就是设计为可公开使用的。

问题2：用户通过浏览器开发者工具获取到API密钥是否安全？Contentful是否会向持有密钥者返回安全敏感数据？ #

需按密钥类型区分看待：

• Delivery API密钥：这是Contentful专门为前端公开场景设计的密钥，仅拥有内容读取权限，且你可以在Contentful后台为该密钥配置访问限制（比如绑定特定域名、仅允许读取指定内容类型）。即使恶意用户获取到该密钥，也只能读取你在Contentful中设置为可公开访问的内容，不会获取到敏感数据（敏感数据不应存储在Contentful的公开内容类型中）。
• Management API密钥：这是绝对私密的密钥，拥有内容创建、修改、删除等全权限。如果该密钥泄露，恶意用户可直接篡改你的Contentful内容，因此这类密钥绝对不能出现在前端代码中，仅能在构建环境的私密配置（比如CI/CD的环境变量）中使用。

总结来说，只要正确区分使用两种密钥，且不在Contentful中存储敏感数据，前端暴露Delivery API密钥是安全的。

内容的提问来源于stack exchange，提问作者Michael A.