部署应用程序时如何保护Spotify API的应用程序秘密密钥？

Question

我不确定如何在不授予用户访问.env文件的情况下授予其访问权限。请记住，我是安全主题的新手。

我在这里看到过类似的问题，但似乎没有一个用例。

我的应用基本上要做的是：

• 用户需要从Spotify Web API获取信息，该API使用密钥。
• 然后，客户端会将此信息下载到其本地存储中。
• 然后该应用将使用数据运行一些小型机器学习任务。

我正在考虑将密钥保存在服务器环境变量中，并通过REST API使数据可用。因此服务器基本上是客户端和Spotify Web API之间的身份验证层，但是我不确定在服务器端发出数据请求是否会给服务器带来太多负担。

是否有一种安全的方法可以使用户访问密钥，以便他可以在客户端发出请求？