在开发web端程序时，如果你的服务是放在外网的，你是无法完全阻止别人模拟客户端来调用你的webapi的。因为你的所有前端代码用户都能直接或间接的看到。而在开发小程序项目时，前端的小程序代码是上传到微信服务器的，其他人想要直接看到或拿到源代码的难度较大，因此小程序端相对安全些。
工具/原料
微信小程序API接口
即速应用开发工具第三方接口
api接口防护
1、使用HTTPS防止抓包，使用https至少会给破解者在抓包的时候提高一些难度接口参数的加解密，通过md5加密数据+时间戳+随机字符串(salt)，然后将MD5加密的数据和时间戳、原数据均传到后台，后台规定一个有效时长，如果在该时长内，且解密后的数据与原数据一致，则认为是正常请求;也可以采用aes/des之类的加密算法，还可以加入客户端的本地信息作为判断依据
2、本地加密混淆，以上提到的加解密数据和算法，不要直接放在本地代码，因为很容易被反编译和破解，建议放到独立模块中去，并且函数名称越混淆越难读越安全。User-Agent和Referer限制api防护的登录验证，包括设备验证和用户验证，可以通过检查session等方式来判断用户是否登录
3、api的访问次数限制，限制其每分钟的api调用次数，可以通过session或者ip来做限制定期监测，检查日志，侦查异常的接口访问
小程序如何进行接口防护
1、要进行小程序的接口防护，首先需要了解小程序的登录过程，如下图所示
2、整个的流程跗柿椁焚如下：小程序端通过wx.login()获取到code后发送给后台服务器后台服务器使用小程序的appid、appsecret和艘早祓胂code，调用微信接口服务换取session_key和openid(openid可以理解为是每个用户在该小程序的唯一识别号)后台服务器自定义生成一个3rd_session，用作openid和session_key的key值，后者作为value值，保存一份在后台服务器或者redis或者mysql，同时向小程序端传递3rd_session
3、小程序端收到3rd_session后将其保存到本地缓存，如wx.setStorageSync(K苇质缵爨EY,DATA)后续小程序端发送请求至后台服棣蚺幌盗务器时均携带3rd_session，可将其放在header头部或者body里后台服务器以3rd_session为key，在保证3rd_session未过期的情况下读取出value值(即openid和session_key的组合值)，通过openid判断是哪个用户发送的请求，再和发送过来的body值做对比(如有)，无误后调用后台逻辑处理返回业务数据至小程序端
4、会话密钥session_key是对用户数据进行加密签名的密钥。为了应用自身的数据安全水貔藻疽，开发者服务器不应该把会话密钥下发到蟛杆戛攉小程序，也不应该对外提供这个密钥。实际上小程序的每次wx.request()请求中没有包含cookie信息，即没有sessionId信息。那么我们能否实现类似浏览器访问，可以将session保存到后台服务器呢?答案是肯定的。我们可以在每次wx.request()中的header里增加
