很多开发者做百度小程序时，都会遇到一个尴尬的情况：明明功能做得很完善，但用户一打开就全暴露了，连个基本的访问门槛都没有。你可能会想，加个密码不就行了？但实际操作起来，有人用全局变量写死密码，结果一审核就被打回；有人用云函数校验，结果用户网络差一点就卡死在登录页。今天这篇文章，我就把百度小程序加密码的几种靠谱方法掰开揉碎了讲清楚，顺便帮你避开那些坑。

一、为什么不能直接在代码里写死密码？

先看一个反面教材。有人在小程序的 app.js 里写了个 var password = "123456"，然后在页面里比对用户输入。这种写法有两个致命问题：第一，百度小程序的代码包是可以被反编译的，只要有人解包，你的密码就一览无余。第二，审核人员一眼就能看出来，这种“硬编码”的密码相当于没有密码。更严重的是，如果密码泄露，你连修改的机会都没有，因为要重新发版审核。

正确的做法是：密码校验逻辑必须放在后端，或者至少放在一个用户无法直接接触到的环境里。但很多个人开发者没有服务器，怎么办？别急，下面我会讲两种不需要服务器的方案。

二、方案一：利用云函数做密码校验（推荐）

百度小程序自带云开发能力，你不需要买服务器，直接用云函数就能实现密码校验。具体操作分三步：

第一步：创建云函数
在开发者工具里，右键点击 cloudfunctions 目录，新建一个 Node.js 云函数，名字就叫 checkPassword。在 index.js 里写上：

exports.main = async (event) => {
const { password } = event;
const correctPassword = "你的动态密码"; // 这个密码可以定期换，但别写死在这里
if (password === correctPassword) {
return { code: 0, msg: '验证通过' };
} else {
return { code: -1, msg: '密码错误' };
}
}

注意，这里有个技巧：密码不要直接写死，而是存到云开发的数据库里。你可以在数据库里建一个集合叫 config，里面存一个字段 password。云函数每次去数据库里读取这个值，这样你要改密码时，只需要在数据库里改一下，小程序不用重新发版。

第二步：在小程序端调用云函数
在密码输入页面，用户点击“确认”按钮时，调用这个云函数：

wx.cloud.callFunction({
name: 'checkPassword',
data: { password: inputValue }
}).then(res => {
if (res.result.code === 0) {
// 密码正确，跳转到主页面
wx.setStorageSync('isVerified', true);
wx.switchTab({ url: '/pages/index/index' });
} else {
wx.showToast({ title: '密码错误', icon: 'none' });
}
})

第三步：处理验证状态
这里有个容易忽略的细节：用户验证通过后，你要把状态存到 wx.setStorageSync 里，但注意，这个状态是可以被用户手动清除的。所以更稳妥的做法是，在云函数里生成一个临时的 token，返回给小程序，然后小程序每次请求业务接口时都带上这个 token，由云函数校验 token 是否有效。不过对于简单的密码保护场景，用本地存储就够了。

三、方案二：纯前端加密码（适合临时演示）

如果你只是做一个内部演示版，或者测试环境，不想折腾云函数，可以用一种“伪加密”的方式。密码本身不写在代码里，而是通过一种不可逆的算法来校验。

比如，你把密码的 MD5 值 写死在代码里：

const md5 = require('./md5.js'); // 引入一个 MD5 库
const inputPwd = '用户输入的密码';
if (md5(inputPwd) === 'e10adc3949ba59abbe56e057f20f883e') {
// 这个 MD5 对应的是 '123456'
// 验证通过
}

这样做，就算别人反编译你的代码，看到的也只是一串 MD5 值，无法直接还原出原始密码。但你要知道，MD5 并不是绝对安全的，现在有很多在线 MD5 反向查询网站，如果密码太简单（比如 123456），一秒就能被查出来。所以这个方法只适合密码复杂度极高的情况，比如你设一个“Baidu@2024!Smart”这种长密码，MD5 值就很难被反向破解。

另外，这种方案还有一个硬伤：你没法远程修改密码。一旦密码泄露，你必须重新发版。所以，如果你打算长期使用，还是建议用方案一的云函数。

四、一个容易被忽略的细节：密码输入框的安全防护

在写密码页面时，直接用 ，这样用户输入时密码会明文显示。正确的做法是用 password 类型：

但你以为这样就安全了？不对，百度小程序有一个特性：在开发者工具里，password 类型的输入框仍然可以被看到输入内容。所以你要额外加一个防截图或防录屏的提示。更狠一点的做法是：在用户输入密码时，每次输入一个字符后，用 setTimeout 把输入框清空，然后自己维护一个密码字符串变量。这样即使有人录屏，也看不到完整的密码。

代码示例：

let pwd = '';
onInput(e) {
const char = e.detail.value.slice(-1); // 取最后一个字符
pwd += char;
// 立即把输入框清空，但显示一个 *
this.setData({ displayValue: '*'.repeat(pwd.length) });
// 0.5秒后把输入框恢复成 *
setTimeout(() => {
this.setData({ displayValue: '' });
}, 500);
}

这个技巧虽然有点“反人类”，但对于高安全需求场景（比如后台管理页面）非常实用。

五、扩展：密码失效时间与自动锁定

光有密码还不够，你还得考虑密码过期的问题。比如，你的小程序是给内部员工用的，希望每周换一次密码。这时候，你可以在云数据库里存一个 expireTime 字段，云函数校验密码时，同时检查当前时间是否超过了过期时间。如果过期，直接返回“密码已失效，请联系管理员”。

另外，为了防止暴力破解，你可以加一个登录失败次数限制。在云函数里，用数据库记录每个 IP 或设备 ID 的失败次数，超过 5 次就锁定 10 分钟。注意，这个锁定逻辑一定要放在服务端，因为前端的时间是可以被用户篡改的。

具体实现思路：在云函数里，每次校验失败时，往数据库里写入一条记录，包含设备 ID（可以用 wx.getSystemInfoSync().deviceId）和失败时间。下次校验时，先查这个设备最近 10 分钟内的失败次数，如果超过 5 次，直接返回“操作过于频繁”。

六、对比：密码保护 vs 用户登录体系

最后说一个混淆的概念。加密码不等于用户登录，密码保护是一种“一刀切”的访问控制——所有人用同一个密码就能进。而用户登录体系是每个人有自己的账号密码，可以记录个人数据。如果你的小程序需要区分不同用户的权限，那就不适合用这种“公共密码”的方式。

举个例子：你做了一个企业内部的报销小程序，给财务部用。如果只是防止外人访问，用公共密码就够了。但如果财务部每个人看到的报销单不同，那你就需要做真正的登录系统，用 openId 或手机号来区分用户。

但即便是登录系统，你依然可以借鉴上面提到的云函数校验和失败锁定机制。可以说，密码保护是登录系统的“简化版”，掌握好密码保护，你再去写登录系统会轻松很多。

从实战角度看，云函数 + 动态密码 + 失败锁定 这套组合，是目前百度小程序加密码最稳妥的方案。它既解决了反编译问题，又提供了远程修改密码的能力，还防住了暴力破解。至于纯前端的 MD5 方案，只适合那些“丢了也不心疼”的临时场景，千万别用在正式项目里。