首先更新下信息，私有化部署分很多级别，最便宜的方案不需要付款，只需要把我们设为你的云服务代理商。进入这个页面，点击里面的im咨询沟通，[详情](https://doc.dcloud.net.cn/uniCloud/software/price.html)。

另外serverless版也支持了独立数据库，可以避免某家云厂商挂掉影响业务的情况。[详见](https://doc.dcloud.net.cn/uniCloud/ext-mongodb/intro.html)

HBuilderX 4.41.2024121203-alpha 已修复。

排查下你用户的token的数组长度是不是很长，这个会导致写入变多。因为1KB = 1次写入

因为uni-id-users表有字段级别的权限，比如password，token等等，所以无法这样查询，需要写明你要获取的字段名，然后字段名不可包含password等

如：
```js
let dbRes = await dbJQL.collection("uni-id-users").where({
'wx_openid.mp': openid
}).field({
'_id': true,
'nickname': true
}).get();
```

更新 schema2code 插件版本到 0.6.1 [https://ext.dcloud.net.cn/plugin?id=4684](https://ext.dcloud.net.cn/plugin?id=4684)
更新 HBuilderX 5.0+

根据你发的错误截图信息，可以确认是node版本太高导致，微信支付v2接口退款接口需要用node16，而hbx本地调试的node固定为18，故要么云端改成node16连接云端测试，要么改成v3接口

不用担心，这是正常的设计。

可以这样理解：

- spaceId + clientSecret + 签名 ≈ 传统开发中的 API 域名

- 传统开发的域名也是公开暴露在前端的，这本身不构成安全问题

真正的安全保障在后端（云函数）：

- Token 验证 - 确认用户身份
- 权限判断 - 确认用户是否有权访问该数据
- 数据过滤 - 只返回用户有权获取的数据

如果你用了clinetDB，则 DB Schema 就很关键：

- 编写的 DB Schema 权限规则。你可以限制字段级别的CRUD权限。

因此，只要云函数和 DB Schema 做好了这些权限校验，即使 spaceId 和 clientSecret 暴露，攻击者也无法：

- 冒充其他用户
- 获取无权访问的数据
- 执行越权操作

类比： 你知道银行的地址（域名），但没有你的身份证和密码（Token），你取不了别人的钱。

如果是微信小程序的话，《非经营性互联网信息服务备案核准》就是把微信小程序备案了就行，前往小程序后台进行备案即可。

这里走的是管控API，云厂商提供的接口目前只支持相等匹配

选择字段这个input还可以自由输入的，你输入 userInfo.mobile 也是可以搜索的

具体操作：

在选择字段这个input内输入 userInfo.mobile 后按回车，然后继续输入右边的字段值，最后点搜索按钮即可

可以考虑迁移到支付宝云，支付宝云没有保底消费，且请求响应速度还比阿里云要快

支付宝云HBuilderX本地调试数据库存在问题，不影响线上运行，已经修复。