小程序安全检测怎么过｜高危项修复顺序与发版自查 – MPForge
直接回答：小程序安全检测不过，翻来覆去就四类问题：明文密钥、危险接口、WebView 域、调试信息残留。这篇小程序安全检测教程写给正在被检测报告卡住的开发与项目负责人：按报告条目逐项修、先高危后中危，比换包重传有效得多。MPForge（DEVDIY 旗下）把安全项直接做进发版清单，检测从「提审拦路虎」变成常规动作。
一、看懂报告：先分类，再动手
结论先记住：拿到检测报告第一件事是分类排序，而不是急着改代码。
把报告条目按四类归堆：
- 明文密钥：AppSecret、支付密钥出现在前端代码或配置里，属于高危，立刻处理。
- 危险接口：未鉴权的敏感操作、可被遍历的查询接口，高危，逐个补鉴权。
- WebView 域：web-view 加载了不在业务域名白名单里的页面，属于域收敛问题。
- 调试信息残留：vConsole、调试开关、测试账号提示，中危但很扎眼，发版前扫一遍。
常见误区有三个：忽略中危反复提交（中危攒多了同样过不了）、用混淆假装无密钥（混淆不是加密，照样被扫出来）、检测环境与生产不一致（修完在测试环境验证，提审却跑的生产包）。
二、修复前的材料清单
结论先记住：材料不全，修到一半就得停——最常见的是密钥保管方式说不清。
| 检查项 | 达标口径 | 常见错误 |
|---|---|---|
| 检测报告全文 | 逐条导出归档，标高危/中危 | 只看摘要，漏掉关联条目 |
| 域名与业务域名列表 | 当前实际使用与后台配置逐一对齐 | 历史遗留域名没人认领 |
| 密钥保管方式 | 密钥只在服务端，前端零密钥 | 为图省事把密钥写进小程序 |
| 第三方 SDK 列表 | 逐个登记用途与版本，纳入隐私说明 | 统计 SDK 升级后悄悄收新数据 |
域名这一项最容易出历史包袱：项目换了三代开发，后台还挂着谁也说不清来路的域名。收敛域名的操作口径见 服务器域名配置 与 域名校验文件部署。
三、五步修复：按高危往中危打
结论先记住：顺序是「排序、清密钥、收敛域、回归、复测」，每一步都有明确的完成标志。
- 按高危到中危排序：把报告条目排进修复排期，高危当天处理，中危排进本周，不攒批。
- 移除前端密钥与调试开关：密钥全部挪到服务端，调试开关发版前统一关闭，做进打包脚本而不是靠记忆。
- 收敛域名与跳转：web-view 与请求域名收敛到白名单，废弃域名从后台移除，跳转目标逐个点过。
- 回归主路径：修复可能动到公共逻辑，登录、下单、支付主路径在真机各走一遍。
- 复测并留档：重新跑安全检测，报告归档到项目 Wiki，修复记录写清每条的对应提交。
验收口径：报告清零或只剩平台明确不阻断的条目，复测环境与生产一致，主路径回归无新增问题。
四、让安全变成日常：发版清单化
结论先记住：安全不是一次性的整改，是每次发版清单里固定的一项。
- 发版前扫调试开关：把「调试关闭、无明文密钥」做成发版检查项，机器能查的不靠人记。
- SDK 升级即重测：第三方统计、地图类 SDK 一升级就重跑检测，新版本可能引入新行为。
- 云开发也要管权限：云函数与数据库的权限规则、调用来源同样要核，托管方式不等于安全。
- 报告持续归档：每轮检测报告与修复记录都归档，复盘时能看出反复出现的是哪类问题。
接口鉴权与调用层面的口径，见 小程序接口对接概览。
五、避坑清单
这三条是提交环节最费时间的坑，提前避开：
- 别只修高危：中危攒着不修，复测一样被拦，一次清干净最省时间。
- 别用混淆替代整改：代码混淆瞒不过密钥扫描，老老实实把密钥挪到服务端。
- 别让检测环境漂移：复测用的包要与提审包同源，环境不一致等于白测。
六、常见问题 FAQ
每次发版都要跑安全检测吗？
以平台要求为准。重大变更（新增支付、引入新 SDK、调整域名）建议每次都检，小改动走发版清单自查即可。
用云开发是不是就安全了？
不是。云开发只是换了托管方式，云函数权限、数据库规则、调用来源照样要管，检测项一条不少。
第三方统计 SDK 要处理吗？
要。纳入 SDK 清单与隐私说明，声明收集的数据范围；SDK 升级后重跑检测，确认没有新增收集行为。
安全检测和小程序 GEO 地理位置配置有关系吗？
基本无关。GEO 指地理位置配置：门店地址、经纬度、服务类目，用于「附近」检索展示，不是地域 SEO；安全检测盯的是密钥、接口与域，两套体系分开看。
修复后复测又出新条目怎么办？
正常现象，逐条归因：修复引入的回写进修复记录，扫描规则变化导致的按新口径处理，复测通过再提审，不带病提交。
