Django上的条带化安全问题

Question

通过将Stripe的PaymentIntent API的clientSecret以纯文本格式存储在客户端HTML中会产生安全问题吗？通过遵循本教程，我是Web开发和集成Stripe的PaymentIntent API的新手：https://stripe.com/docs/payments/accept-a-payment。不幸的是，他们没有针对Django的指南。该指南适用于烧瓶。我尽力而为，但是我不想麻烦地为传递PaymentIntent的clientsecret创建特定的端点。相反，我定义了一个clientSecret变量，该变量通过{{ clientsecret}}以明文形式存储在客户端。为了提供一些背景知识，我将Django 3.0与django-oscar 2和python 3.6一起使用。

Stripe指南指出，"The client secret should still be handled carefully because it can complete the charge. Do not log it, embed it in URLs, or expose it to anyone but the customer."我不相信我正在这样做，但是恐怕通过将其定义为Django提供的网页变量，存在某种日志记录。我使用的是https，所以我认为要公开的网页内容有一定的界限，并且绝对不会在URL本身中公开。

让我知道你们的想法，不要试图赔钱！

Answer 1

如果您在Stripe教程中单击“服务器端呈现”，则看起来他们的Python示例完全满足您的要求。它们只是将{{ client_secret }}存储在<button>元素的属性中。