密钥绝不能出现在前端HTML、JS或CSS中，包括data-属性；应由后端生成短时效access_token并校验调用上下文，前端仅传递最小必要业务字段如order_id和channel。
HTML里不能用data-属性标注密钥用途
浏览器不识别data-secret-purpose="payment"这类写法，它既不会阻止密钥泄露，也不会触发任何安全机制。HTML本身没有“密钥作用域”概念，所有data-属性都会被完整暴露在源码和开发者工具中。
常见错误现象：console.log(document.querySelector("#payBtn").dataset.secretPurpose)能直接读到值；抓包或查看页面源码时，密钥或其用途描述一览无余。
- 密钥永远不该出现在前端HTML、JS或CSS中——无论加多少
data-、aria-或注释 - 所谓“仅用于支付接口”的提示，是后端服务的调用约束，不是前端可声明的权限
- 如果必须在前端区分调用场景（比如不同API需不同token），应由后端返回临时、短时效、作用域受限的
access_token，而非硬编码密钥或用途标记
支付接口调用时如何安全传递上下文
前端真正能做的，是把用户操作意图（如“发起微信支付”）以最小必要字段传给自己的后端，由后端校验、拼装、签名后请求第三方支付网关。
示例场景：点击“微信支付”按钮，前端只发：
立即学习“前端免费学习笔记（深入）”；
{
"order_id": "ORD-2024-7890",
"channel": "wechat_jsapi"
}后端收到后，查库确认该订单状态、金额、用户身份，再用服务端持有的WECHAT_APPID和WECHAT_MCH_KEY生成签名并调用微信统一下单接口。
- 前端绝不接触
WECHAT_MCH_KEY、ALIPAY_PRIVATE_KEY等敏感凭据 -
channel字段是业务语义，不是密钥用途声明；它由后端映射到对应配置项，而非前端控制密钥选择逻辑 - 若前端需渲染不同支付入口，用
data-channel="alipay"这类非敏感标识即可，不涉及密钥
想在HTML里加提示？只能用于辅助开发或审计
如果你只是希望团队成员看到代码时知道某段JS调用了支付接口，可以用title、aria-label或HTML注释，但这些对运行时安全零作用。
例如：
<button id="payBtn" title="调用后端 /api/v1/pay/wechat 接口">微信支付</button>
或者在JS文件顶部加注释：
// ⚠️ 此模块仅用于生成支付参数，不包含任何密钥，密钥由后端注入
-
title会被屏幕阅读器读出，不适合放敏感信息 - HTML注释
<!-- 仅限支付场景使用 -->只对人有效，构建工具和浏览器都忽略它 - CI/CD流程中可用正则扫描
/secret|key|token/i匹配，配合git blame定位违规提交，这才是实际起效的“提示”
真正需要检查的环节在构建和部署阶段
很多团队以为加个data-purpose="payment"就完成了合规，结果密钥仍被webpack打包进bundle.js，或误提交到GitHub公开仓库。
- 检查
.gitignore是否排除了.env.production、config/secrets.json等文件 - Webpack/Vite构建时，确保
process.env.PAYMENT_API_KEY未被注入客户端环境（用DefinePlugin时要限定process.env.SERVER_*前缀） - 上线前用
grep -r "MCH_KEY\|PRIVATE_KEY" dist/快速扫一遍静态资源目录 - 浏览器F12打开Network面板，筛选
XHR，确认所有支付相关请求都指向自己域名下的/api/路径，而非直连api.mch.weixin.qq.com
密钥从来不是靠HTML标签“标注”出来的，而是靠环境隔离、传输路径收敛、访问控制三重防线守住的。标错地方，比不标更危险。
