标签：Token

发现前端打包产物里带了 `shpat_` 开头的 token，代码已经上线了。

做 Headless 站，前端需要调 Storefront API，不确定 token 放浏览器里安不安全。

不清楚 API 密钥、webhook secret 需不需要定期更换。