向Next.js页面通过服务端Props传递Stripe客户端密钥是否安全？

• 这种传递方式完全安全，而且是Stripe官方认可的标准做法。
• Stripe的客户端密钥本身就是为前端场景设计的，它的权限被严格限制：只能用于完成对应支付Intent的流程，无法发起新支付、查看敏感数据或修改账户配置，就算被获取到也干不了坏事。
• 关于浏览器内存的顾虑：就算密钥出现在浏览器内存中也无需担心，它和单个支付会话绑定，一旦支付流程结束（成功/失败/超时），这个密钥就会失效，没有复用价值。
• 绝对别用NEXT_PUBLIC_前缀的环境变量存客户端密钥：这种变量会被打包进前端静态代码，可能被批量爬取；而服务端Props传递是给每个用户分发专属的单次密钥，风险要低得多。
• 额外优化建议：每次支付都生成全新的客户端密钥，并设置合理的过期时间，进一步降低潜在风险。

内容的提问来源于stack exchange，提问作者Krisztian