小程序登录别只信前端存的token，改个本地假值，直接进别人账号看到手机号

新手做小程序，登录态存本地，前端判断本地有没有登录token，就直接让用户进个人中心，根本不校验token有效性，别人改个本地假token，直接进到别人的账号页面，其实登录态必须后端校验，前端存的东西不可信。第一，每次请求后端接口，后端都要校验token是不是有效、有没有过期，别只靠前端判断有没有登录；第二，token过期的时候，后端返回明确的过期码，小程序自动重新静默登录，别让用户手动重新输手机号；第三，别把用户敏感信息全存本地，本地只存token，用户信息从后端拉，不然用户改本地数据，显示假的用户等级；第四，退出登录的时候，后端把对应的token作废，别让退出的token还能继续用。

我之前做社区小程序，只在前端判断本地有没有token就进个人中心，有人改了本地token，直接进到别人的账号页，看到了手机号和订单信息，之后改成每次请求后端都校验token，再也没出现过越权访问。很多新手觉得前端存的token就可信，前端数据随便改，所有校验必须放后端，不然安全漏洞特别多。