如何在React中安全集成Snipcart API密钥

我打算用React和Snipcart搭建在线商店，目前最核心的安全顾虑是Snipcart密钥的存储方式。我知道在React里用.env文件存密钥并不安全，因为它会被嵌入到构建文件中，任何人都能查看。

想请教几个问题：

• 有没有人用过AWS Secrets Manager这类工具存储API密钥？我正在研究这个方案，能不能把密钥存在Secrets Manager里，再通过Lambda函数调用它？如果我的React应用发起请求获取该密钥，用户能不能通过开发者工具的网络面板拦截请求并看到密钥？
• 我还考虑过搭建独立后端与Snipcart通信，再让React应用调用这个后端，但这个方案会增加不少成本，我不太想采用。
• 看Snipcart的基础安装文档，API密钥需要放在script标签里——这样会不会被他人看到？

我也参考了Snipcart的认证相关文档。

内容的提问来源于stack exchange，提问作者couvq