如何仅用JavaScript且无需后端隐藏API密钥以安全分享至GitHub？

不行，纯前端JavaScript无法彻底隐藏API密钥——因为所有前端代码最终都会被浏览器加载并解析，任何人都能通过开发者工具的「网络」或「源代码」面板找到你的密钥。

不过你可以通过以下方式避免把密钥提交到GitHub仓库，同时降低滥用风险：

1. 用单独文件存密钥并忽略上传 #

把API密钥放在单独的配置文件里，比如config.js：

// config.js
const apiKey = "你的实际密钥";

然后在主脚本里引入这个文件：

<script src="config.js"></script>
<script src="你的主脚本.js"></script>

接着在项目根目录创建.gitignore文件，添加一行：

config.js

这样GitHub就不会把这个包含密钥的文件上传到仓库。但要注意：用户访问你的网站时，依然能通过开发者工具看到这个文件里的密钥，这个方法只是防止密钥泄露到代码仓库，而非彻底隐藏。

2. 给API密钥添加使用限制 #

针对你用的Google翻译API，建议在Google Cloud控制台给这个API密钥设置HTTP referrer限制，只允许你的网站域名调用该密钥。这样即使别人拿到密钥，也无法在其他域名下使用，能大幅降低被滥用的风险。

额外提醒 #

如果你的API密钥涉及付费服务（比如Google翻译API的超额调用），纯前端方案始终有被盗用扣费的风险。如果对安全性要求较高，还是建议搭建一个简单的后端代理，让后端去调用翻译API，前端只和你的后端交互，这样密钥就不会暴露在前端。

内容的提问来源于stack exchange，提问作者Evandro Dias