### ① 组件是什么 小程序是运行在宿主应用（社交、支付、短视频等超级应用）内的轻量应用。结构上采用逻辑层与渲染层分离的双线程模型。 逻辑层跑在独立的 JS 引擎（JSCore 类，无浏览器 DOM 环境）里，执行业务 JavaScript 代码、处理数据、调接口。 渲染层跑在 WebView 里，把界面标记语言（WXML/AXML 类）与样式画成屏幕画面。 两层不在同一个线程、不共享同一个上下文。逻辑层拿不到 DOM 句柄，不能直接改页面元素。两层之间所有数据传递与事件回传，都经宿主提供的 Native 桥转发。 这个结构是为了隔离业务脚本与页面渲染、避免一个线程崩溃拖垮另一个。 安全分析时要盯清四件事：逻辑层代码在哪落地；本地缓存写在哪；桥把什么数据转给谁；宿主平台 API 把哪些能力开放给逻辑层。 小程序的交付形态是加密或压缩的包体。下载到宿主本地后由运行时解压加载，包内包含逻辑层脚本、界面标记、样式、配置文件与静态资源。 体量上分主包与分包。主包首屏必需，分包按路由按需下载。 本地缓存（storage）落在宿主为该小程序分配的私有存储区，逻辑层经平台 API