そう、セキュリティ・トークンをコード自体にハードコードするのは、2つの異なる、しかし関連した理由から、とんでもないアイデアなのだ：

技術的には、トークンはソフトウェアのコンフィギュレーションの一部なので、ソフトウェア自体に埋め込むべきではありません。さらに、APIトークンは、ソフトウェアを実行している個人や組織以外には共有されるべきではない秘密である。考慮すべきことが2つある：

コンフィギュレーションの一部であること。コンフィギュレーションの一部なので、コンフィギュレーションファイル、コンフィギュレーションサービス、環境変数（`os.environ('APP_DISCORD_TOKEN')`でアクセスする）、コマンドラインオプションのような、より標準的なコンフィギュレーションセットアップを介してそれを受け入れたいと思うかもしれません。うまくいけば、あなたのアプリケーションはあらゆる種類の設定を受け入れるフレームワークを使うことができます。シークレットをファイル経由で直接設定できるようにする場合は、ソフトウェアのバージョン管理システム（バージョン管理にgitを使用している場合は`.gitignore`を使用するなど）からシークレットを除外して、誤って共有しないようにしてください！

トークンがシークレットであるという観点からは、シークレットの最も安全な場所は、物理的なシステム自体のハードウェアセキュリティモジュール内か、オペレーティングシステムのセキュアなストレージメカニズムになるでしょう。より柔軟なシークレットストレージサービスを使うこともできる。

これらの両方を一緒に考えるなら、安全な秘密ストレージフレームワークに対して統合し、秘密ストレージフレームワークを介して秘密トークンにアクセスするための設定メカニズムを提供したいと思うかもしれません。また、セキュリティ・トークンを長期的に自動的にローテーションする必要がある場合にも、この方が長期的な戦略が立てやすいことがわかるでしょう。
Yes, it is a terrible idea to hard code security tokens in code itself, for two separate but connected reasons:

Technically, the token is a part of the software's configuration, so should not be embedded in the software itself. Additionally, the API token is a secret that should not be shared beyond the individual or organization running the software. There are two things that need consideration:

Since it's a part of configuration. You may want to accept it via a more standard configuration setup, like a configuration file, a configuration service, an environment variable (accessed via `os.environ('APP_DISCORD_TOKEN')`), or a command line option. Hopefully your application can use a framework to accept all kinds of configuration. If you do offer the secret directly to  be configured via a file, make sure you keep it out of your software version control system (such as using `.gitignore` if you are using git for version control), so you don't accidentally share it!

From the aspect of the token being a secret, the safest location for any secret is going to be inside a hardware security module on the physical system itself, or an operating system's secure storage mechanism, but you will need to find the appropriate Secrets API to access it on your device and operating system. You may also choose to use a more flexible secrets storage service.

You may find, that if you consider both of these together, you'll want to integrate against a secure secrets storage framework, and offer a configuration mechanism for accessing the secret token via the a secrets storage framework. You will also find this to be an easier long term strategy when you need to automatically rotate your security tokens over time.