Hydrogen 里 Storefront token 暴露在客户端要紧吗

现象#

构建产物里能看到 Storefront API token，安全扫描提示「密钥泄露」。

原因#

• 把 public token 与 private token 混用，私钥被打进客户端 bundle
• 服务端变量误加了 PUBLIC_ 前缀
• 在组件里直接读取 process.env 的私密变量

处理步骤#

1. 区分两类 token：公开 token 只能读公开数据，私密 token 只放在服务端
2. 把私密 token 的变量名去掉 PUBLIC_，并在服务端 loader 中使用
3. 检查构建产物中是否出现私密值，出现即视为已泄露并立即轮换
4. 对需要客户数据的查询走服务端代理，不要从浏览器直连 Admin API

验收标准#

客户端 bundle 中不含私密 token；泄露的 token 已在后台轮换。