uni-app Android云打包后AndroidManifest.xml泄露WX_SECRET

uni-app Android云打包后AndroidManifest.xml泄露WX_SECRET

开发环境 版本号 项目创建方式
HBuilder 未知 云打包

APP项目中使用了微信登录、微信支付等功能，然后使用HBuilder对Android进行云打包（对js代码混淆）生成apk文件，但是反编译拿到AndroidManifest.xml，发现WX_SECRET是明文显示。

有什么解决方案，可以避免WX_SECRET等信息泄露？

6 回复

打包时可以随便配置，在JS调用API时动态传入真实的值，plus.oauth.AuthService.login()第三个参数AuthOptions

更多关于uni-app Android云打包后AndroidManifest.xml泄露WX_SECRET的实战教程也可以访问 https://www.itying.com/category-93-b0.html


感谢已经修改成功！确认只有登录授权的时候才会用的appsecret字段

plus.oauth.AuthService.login() 该方法还是有安全漏洞的，因为是APP端调用的，通过抓包工具获取到了https请求下的appsecret（我们安全部门已经提出该漏洞），微信官方推荐的是1.通过微信授权获取code，传递给我们自己的服务器，服务器来通过code+appid+appsecret获取用户信息的，针对此种情况有没有解决办法，急求！！

http://ask.dcloud.net.cn/question/58094?column=log&rf=false 安全漏洞求解决

解决办法：

manifest.json对应的微信登录配置，appsecret随便配置一个
因为只有在登录授权的时候，才会使用appsecret，所以登录授权的时候动态更改appscret，如下： plus.oauth.AuthService.login()第三个参数AuthOptions s.login( function(e){
alert( “登录认证成功！” );
}, function(e){
alert( “登录认证失败！” );
}, {appsecret:“xxxxxxxx” // 真实微信的appsecret}
);

在处理uni-app进行Android云打包后，关于AndroidManifest.xml泄露WX_SECRET（微信小程序密钥）的问题，确实需要高度关注。WX_SECRET是微信小程序开发中非常重要的安全凭证，一旦泄露，可能导致恶意用户利用该密钥进行非法操作，比如获取用户数据、发送模板消息等。

首先，确保WX_SECRET不应该直接硬编码在任何客户端代码中，包括AndroidManifest.xml。通常，WX_SECRET应该只在服务器端安全存储，并通过服务器端API进行访问控制。

解决方案示例

1. 使用服务器端代理

在服务器端创建一个API接口，用于处理微信相关的请求。客户端（uni-app）不直接持有WX_SECRET，而是通过调用服务器端的API来间接使用微信功能。

服务器端代码示例（Node.js + Express）:

const express = require('express');
const axios = require('axios');
const app = express();

const YOUR_WX_SECRET = 'your_wx_secret_here'; // 在服务器端安全存储
const GRANT_TYPE = 'client_credential';

app.get('/get-wechat-access-token', async (req, res) => {
    const appId = req.query.appId; // 从请求参数中获取appId
    const url = `https://api.weixin.qq.com/cgi-bin/token?grant_type=${GRANT_TYPE}&appid=${appId}&secret=${YOUR_WX_SECRET}`;

    try {
        const response = await axios.get(url);
        res.json(response.data);
    } catch (error) {
        res.status(500).json({ error: error.message });
    }
});

app.listen(3000, () => {
    console.log('Server is running on port 3000');
});

2. 客户端代码调整

在uni-app中，通过HTTP请求调用上述服务器端API来获取必要的微信功能访问令牌（access token），而不是直接在客户端使用WX_SECRET。

客户端代码示例（uni-app）:

uni.request({
    url: 'http://your-server.com/get-wechat-access-token',
    data: {
        appId: 'your_app_id_here'
    },
    success: (res) => {
        const accessToken = res.data.access_token;
        // 使用accessToken进行后续操作
    },
    fail: (err) => {
        console.error('Failed to get access token:', err);
    }
});

通过这种方式，WX_SECRET永远不会被打包进客户端应用，从而避免了泄露的风险。同时，服务器端的API可以添加额外的安全措施，如IP白名单、请求频率限制等，进一步增强安全性。

回到顶部