育贤智库

小程序运行在宿主 App 沙箱环境中，前端代码可被逆向解析，不能把安全校验逻辑完全放置前端，所有关键校验逻辑必须放在后端服务处理，这是小程序安全开发的核心原则。

接口请求层面，业务接口建议使用 HTTPS 协议，避免明文传输；做好请求参数校验，后端对传入参数做过滤，防止参数篡改；接口增加合理的超时处理，同时控制短时间内重复请求，避免高频请求带来的风险。

本地存储 wx.setStorage 系列接口可以持久化存储数据，适合存放非敏感配置、用户偏好设置，不要存储密码、token 之外的敏感业务数据。存储的数据可以被用户设备读取，不能作为安全凭证的唯一载体。

登录鉴权方面，依靠平台登录凭证换取服务端 session，前端不维护明文账号密码；在业务接口中做好会话有效性校验。前端可以做基础拦截，但不能替代后端校验。

开发调试阶段 vConsole 工具方便排查问题，上线版本务必关闭调试面板，避免日志泄露接口、用户相关信息。上线前做安全自查，降低业务上线后的安全隐患。