「API Key安全」标签文章

微信小程序与 H5 调用第三方 API：把差异留在请求层

小程序和 H5 调用第三方 API 的可靠做法是前端不持有第三方密钥、调用统一收敛到一层请求层；两个运行时的域名与跨域限制、凭证存放、错误与重试责任都应显式定义。具体平台规则本文没有可核验材料，需对照官方文档。

微信小程序与 H5 调用第三方 API 的正确姿势

正确姿势是先划清信任边界：密钥与写操作一律放服务端，由前端通过自建 BFF 代理调用；小程序配置合法域名并设定超时重试，H5 用同源代理规避 CORS 预检，同时统一错误处理规则与限流缓存。