小程序安全检测的购买指南，涉及小程序安全检测的规则与配置说明。
一、计费方式
小程序安全检测为预付费产品，共包含四个子产品，分别是小程序隐私合规、小程序安全诊断、小程序安全加固和小程序安全扫描。
·小程序隐私合规：小程序隐私合规包括基础版和专家版，按检测次数付费（基础版首次免费）。专家版请 联系我们 以获取服务。
·小程序安全诊断：小程序安全扫诊断包括基础诊断和深度诊断，按诊断次数付费（基础诊断首次免费）。深度诊断请 联系我们 以获取服务。
·小程序安全扫描：小程序安全扫描包括基础版和专业版，按扫描次数付费。
·小程序安全加固：小程序安全加固基础版是按次收费，企业版是按年付费，且适用于一个小程序一年无数次加固。
小程序安全检测各版本对应不同付费模式，具体服务内容和参考价格如下表所示
二、价格说明
| 产品功能 | 基础版 | 专家版 |
| 适用用户类型 | 个人用户 、 企业用户 | 个人用户 、 企业用户 |
| 适用场景 | 小程序隐私合规问题自查需求整改场景 | 小程序隐私合规问题自查需求整改场景 |
| 价格 | 4000元/次 | 60000元/次（含复测一次） |
| 付费模式 | 按次付费 | 按次付费 |
三、服务内容说明
| 检测项 | 检测类别 | 基础版 | 专家版 |
| 隐私政策合规 | 具备专门的隐私政策 | 支持 | 支持 |
| | 隐私政策弹窗 | 支持 | 支持 |
| | 隐私政策不得默认勾选 | 支持 | 支持 |
| | 敏感个人数据采集显著告知 | 支持 | 支持 |
| | 明示个人信息采集情况 | / | 支持 |
| 用户授权合规 | 申请权限同步告知目的 | 支持 | 支持 |
| | 申请权限类型不超出必要范围 | / | 支持 |
| | 用户拒绝后不得频繁申请 | / | 支持 |
| | 不得强迫用户授权 | / | 支持 |
| | 权限申请在启动具体功能前 | / | 支持 |
| 个人数据采集 | 敏感数据采集和使用规范 | 支持 | 支持 |
| | 不得强迫或诱导用户采集信息 | / | 支持 |
| | 个人数据采集最小必要 | / | 支持 |
| | 个人数据采集时机 | / | 支持 |
| | 个人数据采集频次 | / | 支持 |
| | 后台静默状态个人数据采集 | / | 支持 |
| 个人数据处理使用 | 个性化推送 | / | 支持 |
| | 开屏广告和信息窗口 | / | 支持 |
| | 个人信息共享 | / | 支持 |
| 数据主体权益 | 个人信息查阅和复制 | 支持 | 支持 |
| | 个人信息更正、补充 | / | 支持 |
| | 个人信息删除和撤回同意 | / | 支持 |
| | 注销账号 | / | 支持 |
| | 用户投诉反馈 | / | 支持 |
| 敏感行为 | 敏感操作：未经用户明示同意，擅自收集、使用用户个人信息 | / | 支持 |
| 应用分发 | 欺骗误导行为 | / | 支持 |
| | 应用分发推广 | / | 支持 |
四、价格说明
说明深度诊断为线下服务，可提供诊断修复建议及专家咨询，如有需要可 联系我们。
| 产品功能 | 基础版 |
| 适用用户类型 | 个人用户、企业用户 |
| 适用场景 | 小程序安全问题定位及漏扫需求场景 |
| 价格 | 5000元/次/小程序 |
| 付费模式 | 按次付费 |
| 支持系统 | Android/iOS |
五、服务内容说明：
注意：说明
注意：深度诊断为线下服务，可提供诊断修复建议及专家咨询，如有需要可 联系我们。
| 类别 | 诊断项 | 基础诊断 (不含修复建议) | 深度诊断 (含修复建议) |
| 营销安全 | 盗刷优惠券/积分 | 不支持 | 支持 |
| | 0元/1元下单 | 不支持 | 支持 |
| | 分享链接⻛险 | 不支持 | 支持 |
| | 盗刷⾦钱/物品 | 不支持 | 支持 |
| | 会员卡盗⽤ | 不支持 | 支持 |
| | 会员卡注册/充值缺陷 | 不支持 | 支持 |
| 链路安全 | 防协议挂攻击 | 不支持 | 支持 |
| 交易安全 | 越权购买商品 | 不支持 | 支持 |
| | 购买结算逻辑异常 | 不支持 | 支持 |
| | ⾼并发交易缺陷 | 不支持 | 支持 |
| | ⽀付/购买溢出 | 不支持 | 支持 |
| | 越权操作订单 | 不支持 | 支持 |
| | 恶意退款/退货 | 不支持 | 支持 |
| | 业务信息泄露 | 不支持 | 支持 |
| | 订单信息泄漏 | 不支持 | 支持 |
| | 恶意开发票 | 不支持 | 支持 |
| 代码保护检测 | 反调试检测 | 支持 | 支持 |
| | 代码未混淆/弱混淆检测 | 支持 | 支持 |
| | 代码加固检测 | 支持 | 支持 |
| 开发测试信息泄漏 | 测试服务器/接口泄露 | 支持 | 支持 |
| | 开发打印信息泄露 | 支持 | 支持 |
| | 运营管理页面暴露 | 支持 | 支持 |
| | 开发相关调试页面 | 支持 | 支持 |
| 编码规范 | 不安全编码 | 支持 | 支持 |
| | 编码逻辑缺陷 | 支持 | 支持 |
| 配置风险 | 域名配置不当检测 | 支持 | 支持 |
| | 爬虫配置不当检测 | 支持 | 支持 |
| 账号安全 | 批量注册 | 不支持 | 支持 |
| | 验证码安全 | 不支持 | 支持 |
| | 未鉴权访问检测 | 支持 | 支持 |
| | 越权访问检测 | 支持 | 支持 |
| 用户信息安全 | 用户隐私信息泄露 | 支持 | 支持 |
| | 用户口令泄露 | 支持 | 支持 |
| | 用户购物信息泄露 | 支持 | 支持 |
| | 越权篡改个⼈信息 | 不支持 | 支持 |
| | 伪造身份 | 不支持 | 支持 |
| 内部信息泄露 | 内部邮箱泄漏 | 支持 | 支持 |
| | 内部 IP 泄漏 | 支持 | 支持 |
| | 内部域名泄漏 | 支持 | 支持 |
| 其他安全 | 绕过客户端限制 | 不支持 | 支持 |
| | 弱加密签名 | 不支持 | 支持 |
| | 加密 key/token 泄漏 | 支持 | 支持 |
| 内部资产配置泄漏 | 系统安全配置有误 | 不支持 | 支持 |
| | 系统信息泄露 | 不支持 | 支持 |
| | 文件信息泄露 | 不支持 | 支持 |
| 通用 WEB 安全 | 反射型 XSS | 不支持 | 支持 |
| | 存储型 XSS | 不支持 | 支持 |
| | DOM XSS | 不支持 | 支持 |
| | CSRF | 不支持 | 支持 |
| | SSRF | 不支持 | 支持 |
| | SQL 注入 | 不支持 | 支持 |
| | 命令注入 | 不支持 | 支持 |
| | CRLF 注入 | 不支持 | 支持 |
| | 远程代码注入/执行 | 不支持 | 支持 |
| | 文件上传 | 不支持 | 支持 |
| | 文件包含/读取 | 不支持 | 支持 |
| | 文件/目录遍历 | 不支持 | 支持 |
| | 敏感路径泄露 | 不支持 | 支持 |
| | URL 重定向漏洞 | 不支持 | 支持 |
| | 不安全的对象直接引用 | 不支持 | 支持 |
| | 限制 URL 访问失败 | 不支持 | 支持 |
| | 应用已知脆弱性组件 | 不支持 | 支持 |
| | Web 服务信息泄露 | 不支持 | 支持 |
| | 证书安全检测 | 不支持 | 支持 |
| | 不安全的 HTTP 请求方法 | 不支持 | 支持 |
| 服务器系统安全 | 系统存在弱口令 | 不支持 | 支持 |
| | 存在有风险账号 | 不支持 | 支持 |
| | 存在有风险的服务 | 不支持 | 支持 |
| | 存在危险端口暴露 | 不支持 | 支持 |
| 系统安全漏洞 | jsonp 漏洞检测 | 不支持 | 支持 |
| | fastjson 漏洞检测 | 不支持 | 支持 |
| | Structs2 漏洞检测 | 不支持 | 支持 |
| | ThinkPHP 漏洞检测 | 不支持 | 支持 |
| | Webpack 漏洞检测 | 不支持 | 支持 |
| | Shiro 漏洞检测 | 不支持 | 支持 |
| 合规安全 | ⼩程序 API 使⽤安全 | 不支持 | 支持 |
| UGC 安全 | 内容安全⻛险 | 不支持 | 支持 |
六、价格说明
| 产品类型 | 基础版 | 专业版 |
| 适用用户类型 | 个人用户 | 企业用户 |
| 适用场景 | 临时或短期安全需求场景 | 中长期安全需求场景 |
| 价格 | 1000元/次/小程序 | 5000元/次/小程序 |
| 付费模式 | 按次付费 | 按次付费 |
| 支持系统 | Android 及 iOS | Android 及 iOS |
七、服务内容说明
注意：说明
注意：小程序安全扫描专业版可提供漏洞解决建议及专家咨询，如有需要可与线下商务进行对接。
| 类别 | 测试项 | 风险等级 | 基础版 | 专业版 |
| 通用 Web 安全 | 反射型 XSS | 中 | 支持 | 支持 |
| | 存储型 XSS | 高 | 支持 | 支持 |
| | DOM XSS | 中 | 支持 | 支持 |
| | CSRF | 中 | 支持 | 支持 |
| | SSRF | 高 | 支持 | 支持 |
| | 命令注入 | 高 | 支持 | 支持 |
| | SQL 注入 | 高 | 支持 | 支持 |
| | CRLF 注入 | 高 | 支持 | 支持 |
| | 代码注入 | 高 | 支持 | 支持 |
| | 文件上传 | 中 | 支持 | 支持 |
| | 文件包含/读取 | 高 | 支持 | 支持 |
| | 文件/目录浏览 | 低 | 支持 | 支持 |
| | 敏感路径泄露 | 中 | 支持 | 支持 |
| | URL 重定向漏洞 | 中 | 支持 | 支持 |
| | 不安全的对象直接引用 | 高 | 支持 | 支持 |
| | 限制 URL 访问失败 | 中 | 支持 | 支持 |
| | 安全误配置 | 低 | 支持 | 支持 |
| | 应用已知脆弱性的组件 | 高 | 支持 | 支持 |
| | Web 服务信息泄漏 | 低 | 支持 | 支持 |
| | POC 扫描检测 | 高 | 支持 | 支持 |
| | 不安全的 HTTP 请求方法 | 低 | 支持 | 支持 |
| 服务器系统安全 | 高危端口检测 | 中 | – | 支持 |
| | 服务弱口令 | 高 | – | 支持 |
| | 系统信息泄露 | 低 | – | 支持 |
| | 文件信息泄漏 | 高 | – | 支持 |
| | 系统漏洞检测 | 高 | – | 支持 |
| 程序代码安全 | API 使用安全 | 高 | 支持 | 支持 |
| | 代码未加固 | 高 | 支持 | 支持 |
| | 代码信息泄露 | 中 | 支持 | 支持 |
| | 数据缓存安全 | 中 | 支持 | 支持 |
| 业务安全 | 短信验证码安全 | 高 | – | 支持 |
| | 弱加密弱签名 | 中 | – | 支持 |
| | 账号安全 | 高 | – | 支持 |
| | 伪造身份 | 高 | – | 支持 |
| | 业务信息泄露 | 高 | – | 支持 |
| | 业务爬虫风险 | 中 | – | 支持 |
| | 恶意刷榜刷量 | 高 | – | 支持 |
| | 恶意订单 | 高 | – | 支持 |
| | 恶意开票 | 高 | – | 支持 |
八、价格说明
| 产品类型 | 基础版 | 企业版 |
| 适用用户类型 | 个人用户 | 企业用户 |
| 适用场景 | 临时或短期安全需求场景 | 中长期安全需求场景 |
| 价格 | 5000元/次/小程序 | 120000元/年/小程序 |
| 付费模式 | 按次付费 | 按年付费 |
| 支持系统 | Android 及 iOS | Android 及 iOS |
九、服务内容说明
| 测试项 | 风险项 | 基础版 | 企业版 |
| 反调试保护 | 绕过静态加密，动态跟踪明文执行 | 支持 | 支持 |
| 代码混淆保护 | 暴露代码功能作用的线索 | 支持 | 支持 |
| 代码压缩保护 | 代码语法格式排版清晰，易于分析 | 支持 | 支持 |
| 字符串编码保护 | 明文字符串，易提供代码功能作用的线索 | 支持 | 支持 |
| 函数调用关系变换 | 函数调用关系逻辑清晰，易分析出核心关键逻辑 | 支持 | 支持 |
| 代码膨胀 | 代码量少，无冗余代码干扰，易于分析关键逻辑 | – | 支持 |
| 控制流平坦化 | 代码逻辑线性结构，易于分析关键逻辑 | – | 支持 |
| 变量名加密保护 | 明文变量名，易提供代码功能作用的线索 | – | 支持 |
| 函数名加密保护 | 明文函数名，易提供代码功能作用的线索 | – | 支持 |
| 类成员加密保护 | 明文成员变量名，易提供代码功能作用的线索 | – | 支持 |
| 字符串加密保护 | 明文字符串，易提供代码功能作用的线索 | – | 支持 |
十、购买方式
如需使用小程序隐私合规、安全诊断、扫描服务或小程序安全加固服务，可进入 小程序安全检测购买页 进行选购。
十一、退费方式
本产品为预付费产品暂不支持控制台自助退费，如需退费，可 联系我们 或联系对应商务人员进行沟通，具体以合同约定为准。
十二、续费说明
如需续费，请直接与对应的商务人员联系。