前言¶

小程序的安全检查，多数团队还停在「等审计报告出来再改」。代码一旦发布，前端包（wxapkg）里的东西就固定了，密钥、明文存储的敏感数据、客户端能直接调用的接口地址，都在包里。拿到 AppID 之后该查哪些点，需要一个固定的检查流程。

下面介绍的 小程序安全扫描 Skill，就是把这套流程固化下来：输入微信小程序 AppID，围绕源码包、客户端存储、硬编码密钥和接口暴露几个方向做一次审计。

这是什么¶

小程序安全扫描 是一个基于通用 SKILL.md 格式编写的社区 Skill，坐标为 @user_4a86686d/mini-program-sast，版本 1.0.1，发布者 user_4a86686d，来源标记为 community，分类 it-ops-security。

它解决的问题是：把「小程序安全」这类宽泛提问，收敛成一次可执行的检查——识别源码包结构、检查客户端存储是否明文保存敏感数据、查找硬编码密钥、排查客户端逻辑绕过和 API 接口暴露。它不需要 API Key，配置门槛低。

核心功能¶

Skill 的触发条件写得很明确，以下场景会被调用：

1、用户提供微信小程序 AppID，并询问小程序安全、漏洞、源码审计、数据泄露风险。
2、需要对 wxapkg 包做分析，判断小程序是否在客户端明文存储敏感数据。
3、需要检查硬编码密钥、客户端逻辑绕过、存储安全、API 接口暴露。

按简介列出的能力，可以拆成四个方向：

• 源码包分析：分析 wxapkg 包，还原可读的前端代码结构，作为后续检查的输入。
• 敏感数据检查：检查客户端本地存储中被明文写入的敏感数据。
• 密钥与凭据检查：检查前端代码中硬编码的密钥。
• 接口与逻辑检查：梳理代码中调用的后端接口，评估客户端逻辑绕过和接口暴露面。

安装与启用¶

Skill 坐标与来源如下。安装命令在已抓取资料中没有给出，这里不臆造，请以 SkillHub 官方页面为准获取安装方式：

坐标：@user_4a86686d/mini-program-sast
来源：community
分类：it-ops-security
版本：1.0.1

官方地址：

https://www.skillhub.cn/skills/user_4a86686d/mini-program-sast
https://api.skillhub.cn/user_4a86686d/mini-program-sast

启用方式上，这类通用 SKILL.md 格式的 Skill 通常是在支持 Skill 的 Agent 环境中注册对应目录或坐标后生效。需要说明：本次未能核实 Cursor、Codex CLI、Claude Code 三个环境在安装命令上的具体差异，因此不做分别说明，建议在对应环境内按官方页面指引确认。

典型用法¶

资料中给出的使用方式是对话式触发，输入是 AppID 和安全问题描述：

输入：微信小程序 AppID + 具体安全问题描述
例如提问：检查这个小程序有没有硬编码密钥，本地存储是否明文存了敏感数据

Skill 被触发后，在简介定义的范围内展开检查，也就是源码包分析、客户端明文存储、硬编码密钥、客户端逻辑绕过、API 接口暴露这几项。具体的输出格式和扫描深度，资料中没有进一步说明，建议先在单个小程序上试跑确认。

需要注意：AppID 本身只能定位到小程序，是否真能拿到 wxapkg 包内容，取决于后续的包下载与解包环节，这一环在资料中没有说明。

适用场景与注意¶

适合这几类使用者：

• 小程序开发者，发布前自查前端包中的密钥和明文存储。
• 安全工程师，需要快速梳理一个小程序的客户端暴露面。
• 需要把小程序安全检查流程化、可复用的人。

几点限制：

1、检查范围限于客户端侧，后端侧的漏洞不在覆盖范围内。
2、Skill 不配置 API Key（requires_api_key=false），能力边界由其自身实现决定。
3、资料中未给出内部实现细节、支持的小程序版本范围和误报处理方式。
4、社区来源，发布者为 user_4a86686d，长期维护情况以官方页面为准。

结尾¶

小程序安全扫描 的价值在于把小程序客户端安全检查从一次性的人工排查，变成一条固定流程：拿到 AppID，依次过源码包、存储、密钥、接口四个检查点。需要时直接用，不需要时不必引入。

官方地址：https://www.skillhub.cn/skills/user_4a86686d/mini-program-sast