请看文档 根据文档了解问题及配置 [文档](https://uniapp.dcloud.io/app-sec-android?id=strandhogg%e6%bc%8f%e6%b4%9e)

3.6.4已修复

HBuilderX 4.41.2024121203-alpha 已修复。

不用担心，这是正常的设计。

可以这样理解：

- spaceId + clientSecret + 签名 ≈ 传统开发中的 API 域名

- 传统开发的域名也是公开暴露在前端的，这本身不构成安全问题

真正的安全保障在后端（云函数）：

- Token 验证 - 确认用户身份
- 权限判断 - 确认用户是否有权访问该数据
- 数据过滤 - 只返回用户有权获取的数据

如果你用了clinetDB，则 DB Schema 就很关键：

- 编写的 DB Schema 权限规则。你可以限制字段级别的CRUD权限。

因此，只要云函数和 DB Schema 做好了这些权限校验，即使 spaceId 和 clientSecret 暴露，攻击者也无法：

- 冒充其他用户
- 获取无权访问的数据
- 执行越权操作

类比： 你知道银行的地址（域名），但没有你的身份证和密码（Token），你取不了别人的钱。