一般的にシークレットキーとは公開できないものでは無いのでしょうか？

Question

こちらの記事 は paypay の API を js で使用するための実装方法が記載されています。

認証の部分ですが、js 上にシークレットキーがベタがきされる構造になっているように見えます。

公式でも以下の様に記載されていますが、シークレットがユーザからでも見え得る js 上に書かれているのは問題ないのでしょうか？

'use strict';
   const PAYPAY = require('@paypayopa/paypayopa-sdk-node');
   PAYPAY.Configure({
    clientId: API_KEY,
    clientSecret: API_SECRET,
    merchantId: MERCHANT_ID,
    /* production_mode : Set the connection destination of the sandbox environment / production environment. 
 The default false setting connects to the sandbox environment. The True setting connects to the production environment. */ 
    productionMode: false, 
  });

ssr などでブラウザからこのコードが見えないことが前提？だったりするのでしょうか？

Answer 1

もちろん、ブラウザでそういった秘密情報を持ったJavaScriptコードを実行すべきではないです。
参考記事でもブラウザで動かしておらず、Node.js で動かしていますね。

Answer 2

ssr などでブラウザからこのコードが見えないことが前提？だったりするのでしょうか？

そもそもがサーバサイドJavaScript用のコードのように見受けられます。

Answer 3

    clientId: API_KEY,
    clientSecret: API_SECRET,
    merchantId: MERCHANT_ID,

このcodeでしたら ベタ書きではないです。
他のところで定義した定数を代入ですので。
何処で定義しているか、は載ってるcodeではわかりませんが、例えば環境変数とかlocalのあるfileとかで定義でしょう。

Answer 4

ここ10年くらいの初心者が間違えやすい部分なので早めにきっちり覚えたほうがいい。
「ブラウザのJavaScript」と「node.jsなどサーバーサイドのJavaScript」は言語は似てるけど別物。

この区別が付いてないとnode用のコードをブラウザで実行しようとしたり逆をしたりする。
定番中の定番なので一番最初に覚えるべきこと。