纯JavaScript能否从Azure获取环境变量？如何隐藏前端API凭据？

运行在用户浏览器环境下的纯客户端JavaScript，无法安全获取Azure环境变量，也不存在任何方案能彻底避免用户通过开发者工具查看到前端持有的明文敏感信息。
你设想的「从Azure拉取敏感凭据传入前端JS」的方案从安全逻辑上就不成立：

• 访问Azure环境变量、Azure Key Vault这类受保护的配置服务，本身就需要合法的授权凭据，如果把这个授权凭据放在前端代码里，等于直接把保险柜钥匙贴在柜门上，用户拿到凭据就能直接遍历你存储在Azure里的所有敏感信息，风险比硬编码账号密码更高。
• 你平时用前端构建工具（Webpack/Vite等）注入的所谓“环境变量”，本质是构建阶段就被硬编码写入打包后JS文件的静态值，用户直接在Sources面板全局搜索就能找到，和你自己手动写在代码里的常量没有任何区别。
• 所有传递到前端的内容，不管你做多少层混淆、加密，最终只要在JS运行时被用到，就会以明文形式存在内存里，用户通过打断点、监听网络请求、监控内存变量就能轻松拿到，这类混淆手段没有实际的安全防护价值。

核心原则只有一条：所有敏感凭据全程只存储、使用在服务端，绝对不向客户端传递，具体落地步骤如下：

• 第一步：服务端统一托管敏感配置
  本地开发阶段，你可以把API调用需要的用户名、密码这类敏感值放在C#项目的appsettings.Development.json或者服务器系统环境变量里，注意不要将包含敏感值的配置文件提交到公共代码仓库；生产环境直接对接Azure Key Vault或者Azure应用服务的配置中心，C#服务通过托管身份拉取配置，不需要在代码或配置文件里硬编码访问Azure配置服务的凭据。
  配置接入示例代码：

  // Program.cs 中接入Azure Key Vault作为配置源
  var builder = WebApplication.CreateBuilder(args);
  Uri keyVaultAddress = new Uri(builder.Configuration["KeyVaultEndpoint"]!);
  builder.Configuration.AddAzureKeyVault(keyVaultAddress, new DefaultAzureCredential());
  

• 第二步：用后端代理承接所有需要敏感凭据的API请求
  前端不再直接发起需要账号密码鉴权的第三方API调用，只把业务请求参数发送给你自己部署的C#后端接口；C#后端收到合法请求后，从本地配置/Key Vault中取出对应的凭据，再向后端目标API发起调用，拿到结果后处理完返回给前端即可。
  这种模式下，用户在浏览器开发者工具里只能看到和你自有后端的交互请求，完全接触不到调用下游API用的敏感凭据，从根源上避免了明文泄露问题。
• 第三步：基础兜底防护
  给自有后端接口加上常规的鉴权逻辑（用户登录态校验、接口权限控制、请求限流），避免接口被恶意遍历调用；如果需要向前端传递公开配置项，可以单独做一个无敏感信息的配置接口，绝对不要在接口返回值里包含任何账号、密码、密钥类内容。

不要在前端侧做任何凭据存储、加密的尝试，客户端环境是完全由用户控制的，你在前端做的所有防护逻辑对有基础调试能力的人都是完全透明的。

内容的提问来源于stack exchange，提问作者Imagine