小程序安全与合规实践

// 极度危险：在代码中硬编码密钥
const API_KEY = 'sk_live_1234567890abcdef';
const SECRET = 'myapp_secret_987654321';

// 危险：前端校验绕过风险
function validateCoupon(code) {
  // 简单的正则替换为服务端校验
  return /^[A-Z0-9]{8}$/.test(code);
}

// 正确做法：密钥保存在云函数环境变量
// cloudfunctions/config/index.js
const cloud = require('wx-server-sdk');
cloud.init();

// 通过环境变量获取密钥（在微信开发者工具 - 云开发 - 云函数 - 高级设置中配置）
const API_KEY = process.env.API_KEY;
const API_SECRET = process.env.API_SECRET;

exports.main = async (event) => {
  const { action, params } = event;
  
  // 使用密钥调用第三方服务
  const result = await callThirdPartyAPI(action, params, {
    key: API_KEY,
    secret: API_SECRET
  });
  
  return { success: true, data: result };
};

// 反例：前端直接计算价格
function calculatePrice(item) {
  return item.price * item.discount;
}

// 正例：价格计算由服务端完成
async function getPrice(itemId, userId) {
  const result = await wx.cloud.callFunction({
    name: 'getPrice',
    data: { itemId, userId }
  });
  return result.result.price;
}

// 强制 HTTPS，禁止明文传输
wx.request({
  url: 'https://api.example.com/v1/users',
  method: 'GET',
  success: (res) => {
    // 处理响应
  }
});

// 请求签名（应在云函数端实现）
function generateSign(params, timestamp, nonce) {
  const sortedKeys = Object.keys(params).sort();
  const signStr = sortedKeys.map(k => `${k}=${params[k]}`).join('&');
  return crypto.createHmac('sha256', SECRET)
    .update(`${signStr}&timestamp=${timestamp}&nonce=${nonce}`)
    .digest('hex');
}

// 安全的 token 管理
const TOKEN_KEY = 'session_token';
const TOKEN_EXPIRE_KEY = 'session_expire';

function setToken(token, expiresIn) {
  const expireAt = Date.now() + expiresIn * 1000;
  wx.setStorageSync(TOKEN_KEY, token);
  wx.setStorageSync(TOKEN_EXPIRE_KEY, expireAt);
}

function getToken() {
  const expireAt = wx.getStorageSync(TOKEN_EXPIRE_KEY);
  if (expireAt && Date.now() > expireAt) {
    clearToken();
    return null;
  }
  return wx.getStorageSync(TOKEN_KEY);
}

function clearToken() {
  wx.removeStorageSync(TOKEN_KEY);
  wx.removeStorageSync(TOKEN_EXPIRE_KEY);
}

// 输入校验工具
const validators = {
  phone(value) {
    return /^1[3-9]\d{9}$/.test(value);
  },
  
  email(value) {
    return /^[^\s@]+@[^\s@]+\.[^\s@]+$/.test(value);
  },
  
  idCard(value) {
    // 简化校验，实际应使用完整的身份证号校验算法
    return /^\d{17}[\dXx]$/.test(value);
  },
  
  // 基础 XSS 过滤
  sanitizeText(value) {
    return value
      .replace(/</g, '&lt;')
      .replace(/>/g, '&gt;')
      .replace(/"/g, '&quot;')
      .replace(/'/g, '&#x27;');
  }
};

// 表单提交前校验
Page({
  data: {
    form: { phone: '', address: '' },
    errors: {}
  },

  onSubmit() {
    const { phone, address } = this.data.form;
    const errors = {};
    
    if (!validators.phone(phone)) {
      errors.phone = '请输入有效的手机号';
    }
    
    if (!address || address.length < 5) {
      errors.address = '地址至少需要 5 个字符';
    }
    
    if (Object.keys(errors).length > 0) {
      this.setData({ errors });
      return;
    }
    
    // 发送前再次清理
    const sanitizedAddress = validators.sanitizeText(address);
    this.submitOrder({ phone, address: sanitizedAddress });
  }
});

// app.json —— 隐私协议配置
{
  "permission": {
    "scope.userLocation": {
      "desc": "你的位置信息将用于展示附近门店"
    },
    "scope.userFuzzyLocation": {
      "desc": "你的位置信息将用于展示附近门店"
    }
  },
  "requiredPrivateInfos": [
    "getLocation",
    "chooseLocation",
    "getFuzzyLocation"
  ]
}

// 隐私接口调用前检查与授权
Page({
  async onGetLocation() {
    // 检查是否已同意隐私协议
    const { needAuthorization } = await wx.getPrivacySetting();
    
    if (needAuthorization) {
      // 展示隐私弹窗
      wx.requirePrivacyAuthorize({
        success: () => {
          this.doGetLocation();
        },
        fail: () => {
          wx.showToast({ title: '需要授权才能使用此功能', icon: 'none' });
        }
      });
    } else {
      this.doGetLocation();
    }
  },

  async doGetLocation() {
    try {
      const res = await wx.getLocation({ type: 'gcj02' });
      this.setData({ latitude: res.latitude, longitude: res.longitude });
    } catch (err) {
      if (err.errMsg.includes('auth deny')) {
        wx.showModal({
          title: '需要位置权限',
          content: '请在设置中开启位置权限',
          success: (res) => {
            if (res.confirm) wx.openSetting();
          }
        });
      }
    }
  }
});

// cloudfunctions/security-check/index.js
const cloud = require('wx-server-sdk');
cloud.init();

exports.main = async (event) => {
  const { content, imageUrl, scene } = event;
  
  // 文本内容审核
  if (content) {
    const textResult = await cloud.openapi.security.msgSecCheck({
      content,
      version: 2,
      scene: scene || 2  // 1-资料 2-评论 3-论坛 4-社交日志
    });
    
    if (textResult.result.suggest !== 'pass') {
      return { safe: false, reason: 'text_risky', detail: textResult.result };
    }
  }
  
  // 图片内容审核
  if (imageUrl) {
    const imgResult = await cloud.openapi.security.imgSecCheck({
      media: {
        contentType: 'image/jpeg',
        value: Buffer.from(imageUrl)  // 图片 Buffer
      }
    });
    
    if (imgResult.errCode !== 0) {
      return { safe: false, reason: 'image_risky' };
    }
  }
  
  return { safe: true };
};

// 正确的支付流程：下单 → 服务端统一下单 → 调起支付
Page({
  async onPay() {
    try {
      // 1. 创建服务端订单
      const orderResult = await wx.cloud.callFunction({
        name: 'createOrder',
        data: { productId: this.data.product.id }
      });
      
      const { orderId, prepayId } = orderResult.result;
      
      // 2. 服务端返回支付参数
      const payParams = await wx.cloud.callFunction({
        name: 'getPayParams',
        data: { prepayId }
      });
      
      // 3. 调起客户端支付
      const payResult = await wx.requestPayment({
        ...payParams.result,
        package: `prepay_id=${prepayId}`
      });
      
      // 4. 支付成功，查询订单状态
      await this.confirmPayment(orderId);
      
    } catch (err) {
      console.error('Payment failed:', err);
      wx.showToast({ title: '支付失败', icon: 'none' });
    }
  }
});