구글 앱스스크립트 code.gs에 API 키를 하드코딩해도 되나요? 구체적으로 어떤 위험이 있죠?

"위험하셔요. .env 파일로 관리하시거나 로컬브라우저에만 입력하게 하시거나 하셔야해요" / "깃허브에 code.gs가 퍼블릭으로 공유되어 있으면 해당 api를 누구나 볼 수 있게 되어요" / "연동된 스프레드시트나 구글폼이 있으시면 수정권한 가지신 모든 분들이 api를 볼 수 있어용. 해당 code.gs가 그 폼에서 확장프로그램으로 열면 바로 보일거에요" / 다만 "무료api는 탈취해서 할 수 있는 일은 앱 마비정도니까요"

"저 앱스스크립트로 할 때 프로젝트설정 - 스크립트속성 - 스크립트속성추가 이거로 넣었어요~!!" (GAS는 스크립트 속성에 키를 보관) / "혹시 나중에 카드 연결되거나 하면 비용청구 될 수 있지 않나유?" / "전 사실 무서워서 api에 카드 연결 하지 않음"

정리: "1. 너 그러다가 나중에 실수로 API 코드 담긴 파일 무심결에 깃허브 올릴 수도 있다니까? // 2. 너 그렇게 퍼주다가 누가 악의적으로 API 막 써버리면 어떡할래? // 정리하면 이거군요!?" / "깃허브나 서버,DB엔 당연히 env로 올리죵"