上海小程序云函数调用第三方 API（密钥安全）

密钥放云端

调用短信/地图等第三方 API 的 secret 绝不能进前端包。放云函数或后端，前端只调自己的接口，再由服务端带 secret 转发，并做签名/限流。

云函数转发

云函数读环境变量里的密钥，转发第三方并裁剪返回，前端拿不到密钥。

// 云函数
const key = process.env.SMS_KEY;
const r = await fetch('https://sms.api/send', {
  method:'POST', headers:{'Authorization':key}, body: JSON.stringify(payload)
});