小程序开发数据安全性
一、数据存储安全
本地存储加密：微信小程序的wx.setStorageSync等本地存储接口默认不加密，需自行对敏感数据（如用户token）加密后存储。使用微信提供的wx.getFileSystemManager()结合加密库（如CryptoJS）实现文件级加密。
云存储安全：若使用微信云开发或第三方云服务，需配置存储桶权限为私有，并通过签名URL限制访问时效。启用云存储日志审计，监控异常下载行为。
二、数据传输安全
强制HTTPS协议：微信小程序要求所有网络请求必须使用HTTPS，防止数据在传输过程中被窃取或篡改。
敏感数据加密：对用户密码、支付信息等敏感数据，采用AES-256或RSA非对称加密算法加密后再传输。使用微信提供的wx.request加密接口，避免明文传输。
证书管理：定期更新SSL/TLS证书，防止中间人攻击。
三、后端接口安全
身份认证与授权：使用JWT（JSON Web Token）或OAuth2.0实现无状态认证，避免Session劫持。结合微信开放平台login接口获取用户唯一标识（openid），绑定用户账号体系。
接口限流与防刷：对关键接口（如支付、登录）设置请求频率限制（如每分钟10次），防止暴力破解。使用IP黑名单机制拦截恶意请求。
数据脱敏：后端返回数据时，对手机号、身份证号等敏感字段进行部分隐藏。
四、代码安全
防逆向工程：对核心JavaScript代码进行混淆（如使用UglifyJS、Terser），增加反编译难度。避免在前端存储密钥或API签名算法，所有敏感操作通过后端接口完成。
输入验证与过滤：对用户输入（如搜索关键词、评论内容）进行长度限制和特殊字符过滤，防止XSS攻击。使用微信提供的wx.sanitize方法或正则表达式校验输入格式。
