我有一个SPA网站，托管在AWS s3中，由cloudfront提供服务有多个CNAMES连接到此网站，例如A.Mysite.com、B.Mysite.com我有一个静态网站连接到的API，如果请求来自A.Mysite.com，则只想为A提供内容；如果请求来自B.Mysite.com ，则为B提供内容
我应该将API密钥存储在哪里？我猜在客户端公开API密钥是个坏主意，对吧？我已经查看了OAuth、JWT令牌等。似乎无论以何种方式，如果我没有服务器，我仍然必须向客户端发送访问密钥。。。
请帮助我理解这一点，因为我非常困惑如何在没有服务器的情况下实现静态站点和API之间的安全。
您研究过环境变量吗？
https://www.twilio.com/blog/2017/08/working-with-environment-variables-in-node-js.html
https://hackernoon.com/how-to-use-environment-variables-keep-your-secret-keys-safe-secure-8b1a7877d69c