## 背景

收到此消息，表明你们的AppSecret可能已经泄露一段时间了，需要进行整改

## AppSecret整改指引

1. 若有在前端(game.js)使用AppSecret， 需要把使用AppSecret的逻辑迁移到服务器端

    比如：前端传入AppSecret给某个后台接口调用jscode2session，需要把整个逻辑放到服务端去实现，参考登录流程： https://developers.weixin.qq.com/minigame/dev/guide/open-ability/login.html

2. 迁移完成后，重置一次AppSecret，操作路径：登录mp.weixin.qq.com->开发管理->开发设置->开发者ID-AppSecret(小程序密钥)->重置。若第1点之前已完成，也建议重置一次AppSecret

重置AppSecret注意事项：

- 重置期间有几分钟过渡期，新老AppSecret都可以使用，请尽快更新为新的AppSecret

- 使用AppSecret的接口：

  a) auth.getAccessToken：https://developers.weixin.qq.com/minigame/dev/api-backend/open-api/access-token/auth.getAccessToken.html

  b) auth.code2Session：https://developers.weixin.qq.com/minigame/dev/api-backend/open-api/login/auth.code2Session.html

## AppSecret泄露后的安全隐患

AppSecret相当于游戏开发者的身份凭证，一旦泄露，第三方就可以通过微信开放的服务端API读写该游戏的相关数据，举例如下：

- 可以查询到该小游戏的统计数据：https://developers.weixin.qq.com/minigame/dev/api-backend/open-api/data-analysis/analysis.getGameAnalysisData.html

- 可以给该小游戏的玩家发送订阅消息（需要知道已订阅的用户的openid）： https://developers.weixin.qq.com/minigame/dev/api-backend/open-api/subscribe-message/subscribeMessage.send.html

- 可以借用你们的服务额度（需要知道该openid最近2小时登录过你们的游戏）：https://developers.weixin.qq.com/minigame/dev/api-backend/open-api/sec-check/security.msgSecCheck.html