Zoom Web SDK中generateSignature方法是否仅限开发环境使用？

结论先说死：生产环境绝对不能直接用前端ZoomMtg实例上的generateSignature方法生成签名，必须搭建独立后端服务完成签名逻辑。

• 前端暴露的generateSignature是Zoom专门给本地开发调试留的快捷方法，本身设计就没考虑生产安全场景：这个方法生成签名需要用到你的Zoom SDK密钥对里的SDK Secret，如果你把签名逻辑写在React前端代码里，SDK Secret会直接被打包进前端静态JS文件，任何用户打开浏览器控制台、反解前端资源就能拿到你的核心凭证，别人可以直接盗用你的Zoom账号额度发起会议、产生超额账单，甚至发布违规内容导致你的Zoom账号被永久封禁，这类盗刷案例已经出过非常多。
• 本地开发阶段你图方便临时用这个前端方法跑通流程没问题，只要部署到对外可访问的环境（不管是测试环境还是生产环境），必须把签名逻辑迁到服务端。

生产环境标准实现流程 #

• 把Zoom SDK Key、SDK Secret这类敏感凭证全部存在后端服务的环境变量中，绝对不能以任何形式下发到前端代码里。
• 前端需要发起/加入会议时，先请求自家服务的签名接口，请求只需要传会议号、当前用户角色（主持人/参会人）、时间戳这类非敏感业务参数即可。
• 后端接口收到请求后，按照Zoom规定的签名算法，用服务端存储的SDK Secret计算生成合法签名，再把签名结果返回给前端。
• 前端拿到后端返回的签名后，再传入ZoomMtg的初始化、入会方法，完成后续会议流程。

别为了省开发步骤把签名逻辑留在前端，密钥泄露带来的资损、账号风险远大于搭个简单签名接口的成本。

内容的提问来源于stack exchange，提问作者nyphur