小程序接口与官网都需要鉴权和资源权限，但小程序还有平台身份与接口约束。客户端代码不适合保管服务器秘密。
服务端确认身份
平台凭据校验后建立业务会话，不相信前端自报用户编号。
保护业务请求
参数校验、限速与对象权限在服务端，支付等动作验证可信结果。
检查平台链路
回调、域名许可与版本发布分别测试，官网和小程序账号映射明确，避免跨端越权。
小程序接口仍面对不可信客户端
服务器验证身份、对象权限和参数，不能因请求来自小程序界面就信任所有字段。
测试替换用户编号、重复提交与过期凭据，消息与登录链路按平台当前要求核对。
例如用户直接改请求中的openid，服务端应从可靠身份取得归属，不能信任客户端字段。
相关阅读：网站与小程序API：鉴权、对象授权和限流。