图14-本地数据存储示意
文件存储安全
文件保存在SD卡/sdcard/tencent/MicroMsg/wxafiles/wx_id/目录下，通过wxfile://协议指向SD卡目录下的文件。
存放SD卡的文件有做完整性校验，无法被篡改。首先，最终存储的文件名是：对称加密（文件流内容Alder32校验和|原始文件名）生成的，最终文件名和文件内容会通过自校验判断完整性；其次，本地缓存是通过HASH映射查找文件。所以即使能破解文件名和文件内容，绕过文件自身签名校验，篡改为攻击者的伪造文件，小程序APP也无法映射到该伪造文件进行使用。
扫码二维码安全
扫码功能（wx.scanCode）依赖微信APP的原生的扫码功能；生成小程序特定页面的直达二维码，依赖于ACCESS_TOKEN，而ACCESS_TOKEN是通过小程序（公众号）私有的APPID和appsecret请求得到，攻击者无法获知到该信息伪造生成二维码。
微信开放接口安全
用户信息获取，包含以下信息：
此外分享、客服消息、模板消息中输入的内容仅会以文本形式输出；模板消息会将数据通过https传输到服务器，而后推送到客户微信服务通知；微信支付功能继承微信平台原有的功能，安全性较为可靠。
开放平台大部分功能会先通过wx.login获得code；然后使用该code换取openid；以此openid进行既定的微信功能操作，比如发送模板消息推送、发起微信支付等。
图15-开放平台发布模板请求示意图
小程序钓鱼风险
微信小程序以唯一appid标识身份，不同小程序拥有不同的appid。如果恶意开发者伪造流行的小程序APP，如美团、大众点评，制作一个仿冒的微信小程序，且使用不同的appid，有可能绕过微信的审核流程发布到市场。小白用户如无辨识能力，极可能被钓鱼受骗。但由于小程序无法嵌入url跳转，同时有访问域名的控制，使得钓鱼风险在一定程度上减轻。小程序钓鱼风险依赖于微信平台的发布审核、监管控制。
泄露数据到微信隐患微信小程序的网络请求通过微信APP实现转发，微信平台可能可以获取到小程序的所有网络请求和存储数据，因此对于小程序业务敏感的数据，建议由小程序再做一层保护；小程序的操作轨迹日志会加密传送到腾讯TBS后台，如下图所示。
图16-操作轨迹日志监控上传
三.小程序账户使用安全
通过目前使用体验，发现当前存在三种账户形式：
方式一：
通过wx.getUserInfo获取的微信用户信息，以openid标识一个用户应用到小程序；
方式二：
通过公众平台appid+appsecret+code，换取session_key/openid，并生成小程序第三方session，在小程序的服务器维护第三方session和微信session_key/openid的关联；客户端使用第三方session进行请求；
方式三：
通过小程序内部自实现的登录模块，如手机号+动态验证码登录
方式一是一种弱账户体系设计，小程序本身无法获得微信用户的标识信息，如手机号、身份证或银行卡，依赖于微信开放平台接口可以提供的用户信息，详见2.5节，一般会在页面上展示微信用户昵称和头像，如下图17所示。