冰小萤
前段时间审查一个网站代码的时候，无意发现了微信API的access_token出现在了JS里面。
什么是access_token?
access_token是公众号的全局唯一接口调用凭据，公众号调用各接口时都需使用access_token。开发者需要进行妥善保存。access_token的存储至少要保留512个字符空间。access_token的有效期目前为2个小时，需定时刷新，重复获取将导致上次获取的access_token失效。
如果将公众号获取access_token的接口放在js里面，那么任何外部访问都能获得当前最新的access_token。然后在微信公众平台接口调试工具处，通过这个access_token即可获取以下能力。
一、上传权限
修改LOGO
此操作即可修改公众号的logo，这对品牌影响力的杀伤力太大，伤害值已经爆表。
二、发送客服消息
发送客服消息
此操作即可通过该公众号客服消息接口向用户发送消息，这画面太美，我已无法想象。
三、获取用户信息
获取用户信息
此操作即可获取该公众号的关注数量及关注着的openid及其他信息。对用户信息泄露是一个大隐患。
四、修改公众号菜单
修改公众号菜单
此操作将完全颠覆公众号的服务能力，一旦被恶意修改，那么你的公众号将会陷入瘫痪。
鉴于以上问题，js里面不应该放凭证等接口，否则对于整个公司而言是毁灭性的打击。
来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/4729/viewspace-3157705/ ，如需转载，请注明出处，否则将追究法律责任。
