微信小程序 安全指引·通用

微信小程序安全指引·通用

1. 接口鑒權(quán)

在調(diào)用后臺(tái)接口時(shí)，需要進(jìn)行權(quán)限校驗(yàn)以防止越權(quán)行為的發(fā)生。敏感數(shù)據(jù)和涉及權(quán)限的接口應(yīng)該在后臺(tái)進(jìn)行身份信息鑒定，如 openid、ip 地址以及自定義登錄信息。

平行越權(quán)與垂直越權(quán)是常見的越權(quán)類型。如果后臺(tái)未對(duì)調(diào)用者身份進(jìn)行校驗(yàn)，則不同角色之間就有可能出現(xiàn)越權(quán)情況。

開發(fā)建議：

1. 敏感接口應(yīng)進(jìn)行鑒權(quán)，以校驗(yàn)請求用戶的身份信息。
2. 鑒權(quán)邏輯應(yīng)僅在后臺(tái)處理，而不是在前端控制，以網(wǎng)絡(luò)安全為重。
3. 代碼實(shí)現(xiàn)建議參考示例。

2. 代碼管理與泄漏

在使用版本管理工具（如 git 和 svn）或臨時(shí)文件時(shí)，需避免將相關(guān)目錄和文件帶入生產(chǎn)環(huán)境，以防源碼泄漏。

在使用第三方代碼管理平臺(tái)（如 GitHub）時(shí)，需要注意項(xiàng)目權(quán)限，避免公開敏感、內(nèi)部項(xiàng)目信息。

開發(fā)建議：

1. 備份文件和版本管理工具帶來的文件，不應(yīng)同步至 Web 目錄下。
2. 禁止外部訪問敏感目錄和文件（如 .git 文件）。
3. 在小程序代碼管理平臺(tái)中進(jìn)行管理配置時(shí)，應(yīng)適當(dāng)設(shè)置權(quán)限控制。

微信小程序

3. 信息泄露

敏感信息指可能影響開發(fā)者業(yè)務(wù)、合作伙伴以及用戶利益的數(shù)據(jù)，包括但不限于賬號(hào)密碼、銀行卡號(hào)和手機(jī)號(hào)等。

開發(fā)建議：

1. 敏感信息不應(yīng)使用明文、注釋、可逆編碼方式或不安全的算法進(jìn)行保護(hù)。
2. 一些敏感信息需要用于展示，如用戶銀行卡號(hào)和手機(jī)號(hào)等，則需要進(jìn)行常規(guī)的脫敏處理。
3. 如出現(xiàn)敏感信息泄露問題，可能會(huì)導(dǎo)致小程序被微信開放平臺(tái)下架并停用其相關(guān)服務(wù)。

這里介紹了微信小程序通用的安全指引。開發(fā)者可以參照其中的開發(fā)建議，在開發(fā)過程中做好小程序的安全保護(hù)工作。

<本文由himall原創(chuàng)，商業(yè)轉(zhuǎn)載請聯(lián)系作者獲得授權(quán)，非商業(yè)轉(zhuǎn)載請標(biāo)明：himall原創(chuàng)>