> 授权边界：本部分包体、密钥、接口与支付示例均为自研隔离靶场虚构占位（ > > `<占位AppSecret>` > > 、 > > `<占位接口>` > > 、 > > `lab.local` > > ），仅用于书面授权的隔离靶场学习。不提供解包、脱壳、抓包绕过的工具与脚本。权限配错 / 硬编码归配置缺陷，桥接注入 / 引擎缺陷归源码或架构漏洞，分开标注。跨端框架最终都落到操作系统的 > > `socket()` > > 与 > > `open()` > > / > > `read()` > > 。 > 三要素判据：可达（公网 / 内网邻接）｜可控（输入能进拼接点）｜权限生效（文件 / 目录 / 角色实际可写可读）；三项不全即「仅纸面缺陷，未构成风险」。 ### 14.1 微信小程序 #### ① 组件是什么 微信小程序是运行在微信宿主内的前端应用（WXML/WXSS/JS + 配置），属多端客户端组件。逻辑层与渲染层双线程隔离：逻辑线程跑 JS 处理数据，渲染线程画 WXML，两线程通过消息通信。 #### ② 什么语言写的，调了 C 的哪些库 * JS/TS。