公开部署为应用的Google Apps Script（GAS）源码是否会被外部查看？

核心结论 #

正常配置下的公开部署Web App，外部用户完全无法查看你的服务端源码，硬编码在服务端的API密钥等敏感信息不会泄露。

原理说明 #

• Google Apps Script 部署为Web App后，所有服务端代码（.gs后缀文件）全部在Google的服务器侧运行，外部用户只能获取到你通过doGet()、doPost()方法主动返回的内容（包括HTML、JSON、纯文本等响应体），不会拿到任何后端代码内容。
• 即便是设置为「所有人，甚至匿名用户」可访问的部署版本，访问者也没有权限进入你的Apps Script项目后台查看源码，除非你主动给对方开放了项目的查看/编辑权限。

需注意的风险点 #

你需要规避以下错误操作，避免人为导致敏感信息泄露：

• 不要将API密钥等敏感信息直接写入返回给前端的HTML、JS、CSS资源中，也不要在接口返回值里携带不需要暴露给前端的敏感内容。
• 使用google.script.run调用服务端方法时，不要让服务端方法返回敏感信息到前端上下文。
• 使用HTML模板渲染功能时，不要用<?= 敏感变量 ?>的语法将敏感信息直接渲染到前端页面的可查看代码中。
• 建议将API密钥等敏感信息存储在GAS的脚本属性中，通过PropertiesService.getScriptProperties()读取，进一步降低泄露风险。

内容的提问来源于stack exchange，提问作者noobchan