登录保护的内部前端项目中，能否直接暴露API密钥？

• 你的站点是私有且仅限家庭成员登录访问的GitLab Pages，这已经形成了有效的访问屏障——只有经过GitLab授权的内部人员才能接触到站点代码和密钥，外部人员完全无法获取。
• 对于天气API这类低风险服务，就算密钥被家庭成员看到，只要API本身的调用额度足够家庭使用、没有超额扣费风险，完全不用担心安全问题。
• 后续要添加的预算应用API密钥需要多留个心眼：
  • 先查清楚该API的权限范围：如果密钥仅能读取基础预算数据，没有修改、支付等敏感操作权限，那风险几乎为零；
  • 要是密钥具备更高权限，哪怕是自己家人，也建议去API平台把密钥权限限制到最小（比如只读），避免误操作带来的麻烦；
• 另外要确认GitLab Pages的私有设置没开错，代码仓库也保持私有状态，别不小心改成公开导致泄露。

如果想再提升一点安全性（可选，非必须），可以用GitLab CI/CD的环境变量，在构建站点时把密钥注入到前端代码里，这样代码仓库里不会明文存储密钥，不过站点运行时密钥还是会在前端，但至少代码里看不到，对于家庭项目来说算是个简单的优化。

内容的提问来源于stack exchange，提问作者somethingElse