小程序对服务器侧的硬性要求清单

小程序平台对服务端实行白名单机制：后台里没登记的域名，正式环境一个请求都发不出去。把它当成一份清单逐项核对，上线前就不会被卡住。 一、域名与备案要求 接口域名必须是已备案的域名，不能用 IP 直连，也不能拿未备案域名临时凑合。备案信息要与业务主体一致，个人备案的主体挂着企业业务，年检时有被清理的风险。协议要求 HTTPS，端口 443；WebSocket 要用 wss 协议，并且域名在后台单独登记一条。测试环境和生产环境用不同域名的话，两个都要登记，或者干脆共用一个域名、用路径区分。 二、证书链必须完整 最容易踩的坑在证书：只部署了服务器证书、漏了中间证书时，桌面浏览器照常打开，小程序端的校验却会失败，报 SSL 握手错误。检查方法： openssl s_client -connect api.example.com:443 -servername api.example.com 输出里的 Certificate chain 段应有两层以上；只有一层说明链不完整，把证书提供方给的中间证书文件拼到证书末尾，重新加载 nginx 即可。也可以用在线证书检测工具做一次全面体检。 三、白名单机制怎么理解 小程序后台的 request 合法域名列表就是接口白名单，域名校验在生产环境强制生效。三点注意：域名按整个域登记，不是按路径；修改次数有限制，别把测试域名反复加进又移出；开发工具里可以临时关闭校验，但那只影响本地调试，真机预览和正式版都严格走白名单。白名单只校验请求的目标域名，不校验 CDN、代理背后的真实来源，源站侧的访问控制仍要自己做。 四、上线自查动作 核对动作清单化：证书链检查跑一遍、真机预览把核心接口点一遍、每个接口域名和后台登记列表逐一对照。顺带确认 HTTPS 全站跳转正常，别出现接口能通、分享图加载失败这种混合内容问题。把这份自查清单存成固定文档，每次发版过一遍，比记忆可靠。