JavaScriptは覗かれる？

Question

自サイトのJavaScriptにAWSなどのidやキーをハードコードするのが危険という、ブラウザから直接AWS Lambdaファンクションを実行の記事を見ました。
感覚としては分かりますが、実際にハードコードするとどのようなリスクが考えられるのでしょうか？他人が覗けるような物では無いと思っていましたが……

Answer 1

JavaScriptは覗かれます。
間違いなく、覗かれます。
大事なことなので2回言いました。
なので、機密情報をJavaScriptに書くべきではありません。
ダメ、ゼッタイ。

実際にハードコードするとどのようなリスクが考えられるのでしょうか？

AWSを例にとるなら、悪意のある人間が、限度いっぱいまでEC2インスタンスを立て、仮想通貨を採掘しまくり、何十万円かの請求だけがあなたに行く、ということが普通に起こります。
「AWS 乗っ取り」で検索すると、色々と事例も出てきます。

Comments

[1129]

どのようにして覗ける/覗かれるのでしょうか？
検索しても他サイトのhtmlを取得する記事ばかりヒットしてしまいます。

[alg]

PC版Webブラウザ（Chrome等）なら、表示中のページを右クリックすると「ソースを表示」というのがあると思います。
そこからhtmlソースを覗くことができます。
すると、そのページで使用しているjsファイルのURLを調べることができます。
URLさえわかれば、あとは覗き放題です。

[1129]

あまりにも質問が初歩的過ぎたので載ってない感じですね。
回答ありがとうございました。
ハードコードは辞めます。