计算属性名不能用于动态拼接跨域凭证，它仅是对象字面量中生成键名的语法手段，不参与凭证构造、签名或中转；凭证中转需依赖后端可信服务、标准协议与安全信道。
计算属性名不能动态拼接跨域系统间凭证中转站，它只是 JavaScript 对象字面量中生成键名的语法手段，不参与凭证构造、签名、加密或中转逻辑。
跨域凭证中转站（如用于 OAuth 代理、Token 中继、SSO 跳转桥接等场景）的核心职责是安全传递、转换和验证身份凭证，必须满足机密性、完整性、时效性和来源可信等要求。而计算属性名 [key] 仅在对象初始化时求值，运行时不带上下文感知、无加密能力、不可审计、无法防篡改——它连“字符串拼接”都算不上，更不是凭证生成环节的组成部分。
真正需要关注的是以下三类关键机制：
凭证中转站的职责边界必须清晰
- 不存储长期密钥（如 client_secret），不暴露原始 Token
- 不在前端拼接或组装敏感字段（如 id_token + refresh_token + state）
- 所有签名、加密、解密操作必须由可信后端服务完成（如专用 Auth Gateway）
- 前端只负责携带已签发的中转票据（如 short-lived JWT），并校验其结构与有效期
中转流程依赖标准协议与安全信道
- 使用 OAuth 2.1 或 OIDC 规范，通过
redirect_uri回调 + PKCE 防授权码劫持 - 中转请求走 HTTPS，且响应头设置
Secure,HttpOnly,SameSite=Strict/Lax - 若需跨域透传（如主站 a.com 向子域 api.b.com 提交凭证），应使用后端代理而非前端拼接，避免 CORS 泄露
前端可配合的动态配置方式（非拼接凭证本身）
- 用计算属性名生成请求配置对象的键，例如：
const env = 'prod'; const config = { }; - 动态构造非敏感路由前缀或回调参数名（如
state=${uuid}&origin=${encodeURIComponent(window.location.origin)}），但这些字段不参与签名输入 - 在 Vue/React 中用计算属性返回预设的中转策略标识（如
isThirdPartyLogin: true），驱动条件渲染或请求路由选择，而非生成凭证内容
本质上，把“计算属性名”和“凭证中转”挂钩，是一种对职责边界的混淆。凭证流转是安全链路，计算属性名是结构语法——前者要过等保三级审计，后者连 ESLint 都不检查。
