在 CS-Cart 4 中，可通过 config.local.php 定义全局常量，并在 Smarty 模板中使用 {$smarty.const.YOUR_CONSTANT} 安全调用，避免硬编码敏感信息。
在 cs-cart 4 中，可通过 `config.local.php` 定义全局常量，并在 smarty 模板中使用 `{$smarty.const.your_constant}` 安全调用，避免硬编码敏感信息。
在 CS-Cart 4 项目中，将 API 密钥等敏感配置硬编码在 .tpl 模板（如 <script> 标签内）不仅违反安全最佳实践，还严重降低可维护性——一旦密钥变更，需逐个查找并修改模板文件，且易因疏忽导致密钥意外提交至版本库。</script>
✅ 推荐方案：通过配置文件定义常量 + Smarty 安全访问
CS-Cart 默认支持 app/config.php 和 app/config.local.php（后者优先级更高，且通常被 .gitignore 排除，适合存放环境相关密钥）。请按以下步骤操作：
-
创建/编辑 app/config.local.php（若不存在，请在 app/ 目录下新建）：
<?php // app/config.local.php define('API_KEY_JS', 'JSABFISAG472IB4'); define('API_ENDPOINT', 'https://api.example.com/v1');⚠️ 注意：config.local.php 不应被提交至 Git。确保其已加入 .gitignore（CS-Cart 默认已包含该文件）。
Pandas 配置文件报告生成器下载使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
-
在 Smarty 模板（.tpl）中安全引用：
无需额外注册或加载，CS-Cart 的 Smarty 环境默认启用 smarty.const.* 访问 PHP 常量：<script type="text/javascript"> var csCartConfig = { api_key: '{$smarty.const.API_KEY_JS|escape:"javascript"}', endpoint: '{$smarty.const.API_ENDPOINT|escape:"javascript"}' }; </script>✅ |escape:"javascript" 是关键防护：自动转义单引号、反斜杠等特殊字符，防止 JS 注入或语法错误。
进阶建议（可选）：
- 若需区分环境（开发/生产），可在 config.local.php 中结合 $_SERVER['HTTP_HOST'] 或自定义环境变量动态赋值；
- 对于更复杂的配置结构，可考虑在 app/functions/fn.common.php 中定义辅助函数（如 fn_get_api_config()），再通过 $view->assign() 传入模板，但常量方式已满足绝大多数场景。
? 总结：永远避免在模板中硬编码密钥。使用 config.local.php + {$smarty.const.XXX} 是 CS-Cart 4 官方认可、轻量且安全的标准做法，兼顾可维护性与安全性。
