微信小程序渗透测试方法论

阶段流: 确认手上有什么 → 获取客户端产物 → 解包还原 → 源码审计 → 接口面测试 → 授权与支付逻辑 → 输出

深入参考

• .wxapkg 解包、分包合并与还原失败排查 → references/wxapkg-unpacking.md
• 前端源码审计要点与密钥/接口提取模式 → references/miniprogram-source-audit.md

Phase 0: 先确认手上有什么

小程序测试的第一个分岔不是技术，而是目标产物的来源。必须先确认起点，不要凭 AppID 在本地文件系统里盲目搜索——容器或测试机上大概率根本没有目标产物，找不到不代表包不存在。