雷锋网 (大众号：雷锋网) 音讯，据 IT 之家 1 月 2 日音讯称，“跳一跳”竟然可以应用破绽本人改分数，甚至连微信小顺序、小游戏的源代码都可以直接下载，只需求晓得appid和版本号，就可以直接结构URL下载后缀为wxapkg的源码包，不需求任何验证。目前，该破绽已被微信修复。

究竟怎样回事？雷锋网宅客频道（微信大众号：letshome）从Janus 要挟情报平台的一篇技术投稿理解到了概况。

该投稿作者为独立开发者朱鹏飞，他称“ 我看完文章之后立马依据他的思绪办法测试了一下，然后下载了十几个微信官方的小游戏源码单纯研讨学习，截止我目前推送文章的时分（ 2018年1月1日23:50分 ），微信官方曾经修复了这个破绽，但是我觉得文章还是可以分享出来给诸位开发者，平安成绩真的不容无视呢。”

雷锋网还留意到，朱表示，有些老版本的微信还是可以抓包获取包地址。

以下信息摘选自朱鹏飞文章：

一、发现

一大早起来刷 V2EX，看到一个帖子《微信跳一跳 可以直接更改分数， POST 恳求没有校验…》 https://www.v2ex.com/t/419056  猎奇点出来看了。

发现不但跳一跳小游戏可以直接改分数，甚至连微信小顺序、小游戏的源代码都可以直接下载，只需求晓得 appid 和 版本号，就可以直接结构 URL 下载后缀为 wxapkg 的源码包，不需求任何验证。

虽然下载来的源码包是加密的，但是解密办法曾经被 V2EXer 发现，并且写了一个解密的 Python 脚本，运转即可把源码包解开为文件夹。

二、重现

第一步，我先试着用帖子作者拼接好的跳一跳源码包地址测试，发现可以下载，不需求任何验证，只需求晓得这个地址，直接恣意阅读器或许下载工具翻开都可以下载。

第二步，再用帖子中的解包 Python 脚本把源码包解压成源代码。

第三步，在本地微信开发者工具中新建一个空白的小顺序或小游戏的项目，不要选择疾速启动模板。

第四步、把方才解压出来的源代码复制到刚刚创立的项目目录中，开发者工具会提示编译出错，这个只需求新建一个game.json文件即可。

文件内容不能为空，写一对大括号出来，或许加上deviceOrientation的配置，这句话的意思是游戏竖屏玩。

保管后你发现游戏还是编译不经过，还需求修正最初一项，点击开发者工具右上角概况按钮，把调试根底库改成game。

好了，运转起来了：

雷锋网版权文章，未经受权制止转载。概况见。