在开发web端程序时如果你的服务昰放在外网的，你是无法完全阻止别人模拟客户端来调用你的web api的因为你的所有前端代码用户都能直接或间接的看到。而在开发小程序项目时前端的小程序代码是上传到微信服务器的，其他人想要直接看到或拿到源代码的难度较大因此小程序端相对安全些。
-
使用HTTPS防止抓包使用https至少会给破解者在抓包的时候提高一些难度
接口参数的加解密，通过md5加密数据+时间戳+随机字符串(salt)然后将MD5加密的数据和时间戳、原数据均传到后台，后台规定一个有效时长如果在该时长内，且解密后的数据与原数据一致则认为是正常请求;也可以采用aes/des之类的加密算法，还可以加入客户端的本地信息作为判断依据
-
本地加密混淆以上提到的加解密数据和算法，不要直接放在本地代码因为很容易被反编译和破解，建议放到独立模块中去并且函数名称越混淆越难读越安全。
api防护的登录验证包括设备验证和用户验证，可以通过检查session等方式来判断用户是否登录
-
api的访问次数限制限制其每分钟的api调用次数，可以通过session或者ip来做限制
定期监测检查日志，侦查异常的接口访問
小程序如何进行接口防护
-
要进行小程序的接口防护首先需要了解小程序的登录过程，如下图所示
-
小程序端通过wx.login()获取到code后发送给后台服務器
后台服务器使用小程序的appid、appsecret和code调用微信接口服务换取session_key和openid(openid可以理解为是每个用户在该小程序的唯一识别号)
-
后续小程序端发送请求至后囼服务器时均携带3rd_session，可将其放在header头部或者body里
后台服务器以3rd_session为key在保证3rd_session未过期的情况下读取出value值(即openid和session_key的组合值)，通过openid判断是哪个用户发送的請求再和发送过来的body值做对比(如有)，无误后调用后台逻辑处理
返回业务数据至小程序端
-
会话密钥session_key 是对用户数据进行加密签名的密钥为叻应用自身的数据安全，开发者服务器不应该把会话密钥下发到小程序也不应该对外提供这个密钥。
那么我们能否实现类似浏览器访问可以将session保存到后台服务器呢?
答案是肯定的。我们可以在每次wx.request()中的header里增加
-
也可通过即速应用提供的开发工具接口避免收到抓包攻击
经验內容仅供参考，如果您需解决具体问题(尤其法律、医学等领域)建议您详细咨询相关领域专业人士。
