Blazor WASM SPA支付API密钥安全方案：客户端VS服务端？

首先必须明确：支付API密钥无论如何都不能出现在客户端环境——哪怕你是临时获取后立刻删除，也存在致命安全风险：

• 网络传输环节，密钥可能被抓包工具拦截；
• 密钥在客户端内存中停留的极短时间里，用户通过浏览器调试工具（比如内存快照、控制台）就能提取出来；
• 一旦密钥泄露，攻击者可以伪造支付请求，直接造成资金损失，这个风险完全无法承担。

你倾向方案b无非是想保留流畅的用户体验，但这个代价绝对不值得。

再看方案a，你担心的流程中断问题完全可以优化：

• 不要直接跳转到Razor Page，而是把支付逻辑封装成服务端API接口；
• 客户端通过Blazor的HttpClient调用这个API，服务端用密钥调用支付平台的接口，生成支付所需的安全参数（比如签名后的订单信息、支付跳转链接）；
• 拿到参数后，客户端直接调用支付平台的前端JS组件（比如微信支付JSAPI、支付宝H5支付），全程在SPA内完成，用户根本感觉不到流程中断。

这种模式下，密钥全程留在服务端，完全不会暴露，同时体验和方案b几乎没有差别。

内容的提问来源于stack exchange，提问作者Brett JB