ruby-on-rails - strip secret key 的目的是什么？另外，这安全吗？

Question

现在，stripe已与我的rails应用程序集成在一起，但是我从未使用过提供给我的 secret key ，只使用了可发布的 key 。 key 实际上是做什么的？

另外，我的观点中包含以下代码:

 <script type="text/javascript">
  Stripe.setPublishableKey("my-publishable-key-here");
</script>  

将发布 key 放在那里安全吗？ Stripe文档实际上执行相同的操作，但是我不确定。

Answer 1

可发布 key 在客户端代码中用于使用Checkout或Stripe.js token 化付款信息。它只能用于创建 token ， token 本身不执行任何操作(它们只是隐藏敏感信息的付款来源的表示)。

key 在您的后端代码中用于将其他任何请求发送到Stripe's API。您需要注意不要泄露您的 key ，因为它可能会被用来访问您的帐户并引起各种麻烦(退还过去的费用，取消订阅，删除已保存的客户等)。

您可以在Stripe仪表板中找到所有API key :https://dashboard.stripe.com/account/apikeys。如果需要，可以通过单击每个键旁边的小“回收”图标来用新的键替换(“推出”一个键)。