* 起点：可下载的小程序包 / Android 安装包 * 关键步：解包提取硬编码密钥、复现客户端签名算法 * 终点：批量调用后端接口。若提取到云访问密钥则升级为云资源接管 * 最终定级：严重（终点为云资源接管）。仅批量调用业务接口、未触及云密钥时定高危 ### 一、业务背景 多端入口里，小程序和 App 是独立客户端。开发中常见两种省事做法：把云服务访问密钥、接口调用密钥直接写进客户端包。把请求签名算法也放在客户端本地计算。客户端运行在用户设备上，本身不具备保密能力，包体可被解包、反编译、动态调试，写进去的秘密等同于公开。攻击者拿到密钥或复现签名后，就能脱离客户端批量调用后端接口。 ### 二、系统拓扑 * 客户端包：小程序包（wxapkg）或 Android APK，内含业务代码、硬编码密钥、签名算法。 * 后端 API：凭签名或密钥放行调用的业务接口。 * 云服务：若包内硬编码云访问密钥，可直接触达的对象存储、数据库等云资源。 * 信任边界：后端把 "客户端会保密" 当作前提，缺少服务端独立鉴权与调用限流。 ### 三、角色与账号 * 攻击者：下载