关于支付宝移动支付私钥问题

[ovear]

最近在看支付宝的移动支付，看见 Demo 里面的用于签名的私钥是放在用户端的。。
把这个私钥放到客户端不会产生安全问题么_(:з」∠)_，还是说这玩意仅仅是作为一个验证网络是否出错的东西，但是这样不就可以用 md5 了么，不应该还有防篡改的作用么。。
我看了下 Cordova 的插件。。好像都是放在客户端的。。
那么对于 Cordova 以及类似的混合开发类应用，使用支付宝的网站支付好，还是 native sdk 好呢。。

我个人倾向于用移动网站支付，然而支付宝的文档怎么写的这么烂。。

[huijiewei]

demo 只是为了方便演示

官方文档都是推荐在服务端处理的