微信小程序注入是指通过技术手段将外部代码或资源动态加载到小程序运行环境中的过程。这种技术既可用于合法功能扩展（如动态加载业务模块），也可能被恶意利用（如XSS攻击）。开发者需要深入理解其原理，才能在安全与功能间取得平衡。
• 云函数动态加载：通过wx.cloud.callFunction实现远程代码执行
• WebView混合开发：利用<web-view>组件加载H5动态内容
• 插件机制：官方提供的安全插件加载方案
• eval()函数滥用导致的代码注入漏洞
• 未过滤的wxs脚本注入风险
• 第三方SDK的隐蔽代码执行
微信官方推荐采用白名单+内容审核双重机制：
1) 建立可信域名白名单，限制外部资源加载范围
2) 对动态内容进行AST语法树分析，检测可疑代码模式
3) 使用WXSS内容安全策略(CSP)限制内联脚本
动态注入时需注意：
• 分包加载策略优化（单个分包不超过2M）
• 预加载时机选择（建议在onLoad阶段启动）
• 内存泄漏防范（及时销毁WebView实例）
随着小程序底层架构升级，注入技术呈现新特征：
• WASM模块的动态加载支持
• Skyline渲染引擎下的新注入点
• 隐私合规要求的增强型沙箱机制
1. 是否禁用wx.loadFontFace等高风险API？
2. 动态内容是否经过HTTPS加密传输？
3. 是否定期使用官方安全扫描工具？
4. 关键业务是否实现双因素校验？
注：本文所述技术方案需严格遵循《微信小程序运营规范》，禁止用于任何违规场景。