我目前正在开发ReactJS＆amp; Firebase app，但我遇到了以下问题：
由于所有代码都在客户端运行，如何在不暴露我的私人令牌的情况下连接到支付API？
我正在考虑创建一个可以处理此请求的Google Cloud Function。我认为这个功能应该管理一个登录以获取令牌，然后请求付款。这有用吗？
目前Google Cloud Functions无法自由地从Google应用发出请求。有人知道我怎么能避免25美元/月？
我想到的另一个选择是在Rails API上创建Heroku来仅管理此请求，但我不确定我是否通过管理令牌来暴露令牌正面的逻辑。 （因为前端必须与Firebase和这个新的API对话）
安全是必须的。
谢谢！