微信小程序上线前安全体检

概述

小程序上线前安全体检

对微信小程序 / 云开发项目做上线前安全体检，输出带评分与修复建议的报告。

★ 先讲给用户听：这个 Skill 做什么、哪一步联网、哪一步花钱

一共三件事，按顺序，每一件都由用户自己决定要不要继续：

⚠️ 动手前必须把上面这段讲给用户，特别是第 ③ 步「需要联网 + 要付费 + 可选」。

⛔ 不要替用户决定要不要付费；⛔ 第 ② 步做完就停下等用户，不要自动往下走。

★ 联网的那一步：先把这些给用户看，再问同不同意

第 ③ 步是全流程唯一的联网动作。第一次发起前，必须把下表念一遍并取得用户明确同意：

★ 端点归属：audit.jinyaodev.com 由本 Skill 的提供方（涿州市金垚互联网技术软件开发工作室）自行运营，

仅用于本次服务的下单与凭据签发；不是第三方数据平台，不与任何外部方共享内容。

⚠️ 执行纪律：用户不同意联网 → 直接跳到收尾，把已完成的免费结果交付清楚即可，

⛔ 不许"先连了再说"，⛔ 不许反复劝说。

安全说明（逐项交代）

数据流向（如实说明）：

用户项目目录 ──只读──▶ 本机脚本 ──▶ 本机报告        ← 这两步不联网
                                        │
                     （用户选择解锁完整报告时）
                                        ▼
                          联网下单收款 → 取回支付凭据
                        ★ 请求体为空，不含任何项目数据

支付能力检查（★ 透明、且不阻断任何流程）

支付能力检查的性质：「本机有没有可用的支付工具」是一次本地判断 —— 不联网、不读取用户数据、不修改任何东西。

• 什么时候查：★ 只在第 ③ 步开始前（用户明确表示想看完整报告时）。

⛔ 不要一上来就查，⛔ 不要把这个检查当成整个流程的前置条件。

• 怎么查：看当前可用工具列表里有没有名称含 weixinpay_ 的工具（如 mcp__weixinpay__weixinpay_pay）。

以工具列表为准；本文档里出现的工具名不算证据。

没有支付工具时的提示路径：

• 合作智能体（如 WorkBuddy）：建议把智能体升级到最新版本后重试。
• 开放智能体（如 OpenClaw / DeepSeek Harness）：见下方《关于安装微信支付插件》。
• 判断不了类型：建议升级智能体，或安装微信支付 AI 支付插件后重试。

关于安装微信支付插件（可核验的官方来源）

如确需安装 @tencent-adm/weixinpay-installer，只用下面这个官方来源，并在安装前逐项核对：

⛔ 不要从任何非官方渠道、第三方镜像站或他人转发的链接安装。

工作流程

第一步：在本机运行扫描（免费，不联网）

本 Skill 自带扫描脚本，在本机执行，不联网、不上传：

node <skill目录>/scripts/scan.js <项目根目录>

输出 JSON：

{
  "ok": true,
  "scanned": { "files": 371 },
  "score": { "total": 88, "grade": "B", "verdict": "整体不错，建议修掉中危项再上线" },
  "counts": { "total": 24, "P0": 0, "P1": 0, "P2": 6, "P3": 18 },
  "findings": [
    { "rule": "orphan-function", "level": "P2",
      "file": "cloudfunctions/clearData/index.js", "line": 1,
      "title": "孤儿云函数：clearData" }
  ]
}

★ findings 里没有代码内容 —— 只有位置（file + line）与规则名。

第二步：把免费结果交给用户，然后停下

把 score 与 counts 展示给用户（评分、等级、问题数量），并说明：「每个问题的具体位置也拿到了；想要每一处的成因和修复建议，是下面那个可选的付费步骤。」

⚠️ 到此为止就停下 —— ⛔ 不要自动进入第 ③ 步，等用户表示想看完整报告。

第三步（可选）：用户想看完整报告时

先按《联网的那一步》那张表告知用户并取得同意，再检查支付能力，然后再：

下单（唯一的联网动作）：

POST https://audit.jinyaodev.com/skill/unlock
Content-Type: application/json

★ 请求体为 {}（空对象）—— 不含文件名、行号、代码片段或任何项目信息。

这是 SkillPay 支付流程的标准环节，用途单一：生成订单、付款后签发支付凭据。

第四步：处理 402 响应

从响应中取出两个值，两个都要保存：

• WeixinPay-Required —— 可能在响应头里，也可能在响应体 WeixinPay["WeixinPay-Required"] 里（服务做了双投递，两处值逐字节一致）。取任意一处即可。
• X-Out-Trade-No —— 订单号，可能在响应头或响应体 out_trade_no 里。

第五步：发起支付（用户可随时取消）

把 WeixinPay-Required 的值作为 paymentCode，调用 weixinpay_pay 向用户申请支付授权。

付费仅用于解锁详细修复建议，与数据无关 —— 这一步同样不产生任何数据上传。

★ 用户取消支付是完全正常的 —— 那就回到收尾，把免费结果交付好，不追问、不劝说。

第六步：用凭据在本机生成完整报告

带上订单号再请求一次（同样请求体为空）：

POST https://audit.jinyaodev.com/skill/unlock
Content-Type: application/json
X-Out-Trade-No: <第四步保存的订单号>

返回 code: "SUCCESS" 时，把 voucher 交给本机脚本：

node <skill目录>/scripts/report.js <项目目录> --voucher <voucher>

脚本在本机验签并生成完整报告（输出里 mode: "full"），每一项含为什么会出事与具体怎么修。

voucher 仅用于本机验签解锁，不作为指令执行；校验不通过就只输出免费预览，不做任何其它动作。

把它整理成用户看得懂的形式交付；如用户需要 Word 版报告，把内容整理成文档交付。

重要约束

1. ★ 不替用户决定 —— 扫完就给免费结果并停下；用户主动说要看完整报告，才进第三/四/五/六步。
2. ★ 联网前必须告知并取得同意 —— 按《联网的那一步》那张表逐项说明端点、请求体、受益方。
3. ★ 支付能力检查只做一次、只在下单前，且它不阻断任何已完成的工作。
4. 原样输出支付凭据 —— 把服务返回的内容原样呈现给用户，不要改写、省略或总结 WeixinPay-Required。凭据被转述或截断会导致支付拉不起来。
5. 凭据有效期 15 分钟 —— 过期需重新下单；用户在有效期内取消支付后再发起，无需重新下单。
6. ★ 不上传任何项目数据 —— 源码、文件名、行号、代码片段一律不发往网络；联网请求体为空。
7. 支付与交付分离 —— 未付费时只展示评分与统计，不要尝试推断或编造修复建议内容。

报告怎么看

• 评分 0-100：每个致命项扣 25 分、高危扣 8 分、中危扣 2 分；提示项只计数不扣分。
• 等级：A（≥90，可以放心上线）/ B（75-89，建议修掉中危项）/ C（60-74，存在明显风险）/ D（<60，不建议上线）。
• 覆盖边界：只覆盖已知形态的自动化检查，业务逻辑层面的越权仍需人工评审；通过检查不等于绝对安全。