在JavaScript中隐藏Stripe密钥是否重要？Symfony网站咨询

• 你代码里用的pk_live_开头的是Stripe公钥，这类密钥本身就是设计给前端代码使用的，完全可以暴露给用户，Stripe官方允许甚至推荐这种用法，不用担心安全问题。
• 真正需要严格保密的是Stripe的私钥（以sk_live_开头），这类密钥只能放在你的Symfony后端代码里，绝对不能出现在前端——一旦泄露，攻击者就能用它发起扣款、查询你的账户敏感数据，造成严重损失。
• 你的支付流程逻辑是合理的：前端用公钥初始化Stripe，点击按钮后请求后端的/orders/create-session接口创建支付会话，再跳转Stripe的结账页面。敏感的会话创建、订单校验逻辑都在后端，前端只负责触发请求和跳转，没有泄露敏感信息的风险。

补充：Stripe公钥的权限被严格限制，只能用于初始化SDK、渲染支付组件等前端操作，无法执行任何涉及资金或账户敏感操作的请求，所以暴露出来不会有安全隐患。

内容的提问来源于stack exchange，提问作者Naografix