条带密钥的用途是什么？另外，这样安全吗？答案

【问题标题】：What's the purpose of the secret key for stripe? Also, is this safe?条带密钥的用途是什么？另外，这样安全吗？
【发布时间】：2016-08-08 00:41:35
【问题描述】：

现在，stripe 已与我的 rails 应用程序集成，但我从未使用过给我的密钥，我只使用了可发布的密钥。密钥实际上是做什么的？

另外，我的观点中有这段代码：

 <script type="text/javascript">
  Stripe.setPublishableKey("my-publishable-key-here");
</script>

将可发布密钥放在那里安全吗？条纹文档实际上做同样的事情，但我不确定。

【问题讨论】：

我不写答案是因为我不确定可发布的密钥，但密钥应该在/config/initializers/stripe.rb 中定义，存储在 ENV 变量中，并在后台使用gem 'stripe' 向 Stripe 验证您的身份。就像这里显示的那样stripe.com/docs/checkout/rails#configuring-the-application
其实每个人都能看到的唯一密钥是公共的。这是一篇可以解释这些密钥用途的文章（比我能解释的更好）：en.wikipedia.org/wiki/Cryptography#Public-key_cryptography（提供公钥是安全的，但不要提供秘密！）
所以可发布密钥 = 公钥？
可发布的密钥只能用于标记卡数据，密钥在您的 Rails 代码中用于实际收取您创建的令牌。

【解决方案1】：

可发布密钥在您的客户端代码中用于标记支付信息，使用Checkout 或Stripe.js。它只能用于创建令牌，令牌本身什么也不做（它们只是隐藏敏感信息的支付源的表示）。

在您的后端代码中使用密钥向Stripe's API 发送任何其他请求。您需要小心不要泄露您的密钥，因为它可能会被用来访问您的帐户并导致各种麻烦（退还过去的费用、取消订阅、删除已保存的客户等）。

您可以在 Stripe 仪表板中找到所有 API 密钥：https://dashboard.stripe.com/account/apikeys。如果需要，您可以通过单击每个键旁边的小“回收”图标，用一个新键替换一个键（“推出”一个键）。

【讨论】：