我是新手，由于无法在搜索中找到相关信息，因此决定寻求您的建议。
我创建了一个SPA（反应），该SPA接收令牌，验证令牌，如果令牌有效，则呈现一些内容。该SPA托管在S3中。
现在，我想添加一些API密钥（敏感的）。将它们添加到代码中（手动或在构建包的过程中）是个坏主意，不是吗？
我考虑过将它们存储在AWS中（例如在Secrets Manager中），并使用SDK（js）检索它们。但这是我的疑问。我既不想在SDK的代码中对AWS凭证进行硬编码，也不想使用诸如cognito之类的东西，因为验证将由此应用通过其接收的令牌完成。实现这一目标的最佳方法是什么？如果您可以指向一些资源，我将不胜感激。
随时根据需要提出建议。谢谢。