简介这份资源面向需要分析或学习微信小程序代码的开发者提供PC端可用的解密与反编译工具及操作步骤实测通过。压缩包共16个文件约467KB以JS脚本为主涵盖WXML、WXSS、JS、配置等模块的还原工具同时附带了wxappUnpacker工具、批量处理脚本、说明文档和示例图片便于按流程操作和排查问题。已有202人学习下载适合具备命令行基础、希望研究小程序前端实现或参考优秀开源案例的开发者。需要留意解密和反编译他人小程序应遵守相关法律法规及平台规则仅在获得授权或合理学习范围内使用。1. PC端微信小程序解密与反编译wxappUnpacker 的实际落地流程从 PC 端微信目录里翻出一个.wxapkg文件想看看某个微信小程序的前端实现——这是做竞品分析、排查线上问题、核对 uniapp 打包产物时很常见的需求。但直接拿去解包往往会得到一串乱码或者报错因为较新版本的微信小程序包在落盘时默认带了一层加密必须先解密、再反编译。这篇笔记介绍的就是这条完整链路定位wxapkg、用压缩包里的wxappUnpacker完成解密与解包、检查产物是否可用以及我在多台机器上跑这套流程时踩过的坑。适合想入门小程序逆向、需要快速核对接口字段的工程师也适合只想知道“这个工具到底能不能用、怎么用”的读者。2. wxapkg 与 PC 端小程序的加密先搞清楚包里装的是什么2.1 微信小程序编译产物 wxapkg 的内部形态微信小程序在发布之前会由开发者工具把源码工程编译成一个小程序包。wxapkg本质上是一个归档文件但不同于我们常说的 zip它既不叫.zip文件头也不是标准的PK开头而是微信自定义的打包格式。用压缩软件强行打开只会看到一堆乱码或者干脆打不开。一个正常编译出来的小程序包解开后结构通常是这样的根目录下有app.js、app.json、app.wxss分别管全局逻辑、页面注册和全局样式每个页面在pages目录下独占一个子目录里面有同名的.js、.wxml、.wxss、.json。如果小程序开了分包还会多出若干subpackages目录。理解了这份结构后面判断反编译成果是否完整就有了依据。文件职责反编译后关注点app.js全局逻辑、App 生命周期全局变量、请求封装、登录逻辑app.json页面注册、窗口配置pages 列表、分包结构、tabBarapp.wxss全局样式主题色、公共样式类pages/*.wxml页面模板事件绑定、数据渲染、界面结构pages/*.js页面逻辑事件处理、接口调用、参数拼装这里有个背景需要说清楚如果你用 uniapp 开发微信小程序wxapkg里装的就不只是原生微信小程序的代码还有 DCloud 的运行时和相关组件。这一点会影响你对产物的预期——uniapp 编译出来的包在解包后会出现uni-app相关的目录和文件页面逻辑集中在编译后的js里模板结构也可能被转成自定义组件的形式。所以拿wxappUnpacker解 uniapp 产物时不要指望看到和原生开发一模一样的源码分布。那加密是怎么回事较新版本的微信为了防止小程序包被直接扒走源码在写入本地缓存时给wxapkg加了加密处理。加密后的文件内容已经变形原来的目录结构完全不可见必须用对应版本的解密方式还原成明文包才能继续解包。这也是网上很多人抱怨“wxappUnpacker 解不出来”的最主要原因——不是工具不好用而是第一步解密没有走对。2.2 PC 端微信的小程序包放在哪查找路径与文件判别无论什么逆向工作第一步都是拿到原料。PC 端微信会把用户打开过的小程序缓存到本地具体位置跟微信版本和安装方式有关常见路径大致在“文档”目录下的WeChat Files/Applet/里。进入后你会发现很多以wx开头的一长串目录那就是不同小程序的appid点进去通常还会看到版本号目录里面躺着我们要找的.wxapkg文件。推荐用 Everything 直接搜*.wxapkg比一级级翻目录快得多。找到主包一般叫__APP__.wxapkg其它名字的是分包。拿到文件后先复制一份出来再操作别直接在原目录上动手后面一旦解错至少还有后悔药。如果命令行操作可以在终端里这样定位Windows 的 PowerShell 同理路径换成你的用户目录find ~/Documents/WeChat\ Files -type f -name *.wxapkg 2/dev/null | head -20这段命令把 WeChat Files 目录下所有wxapkg文件列出来最多显示 20 条。用find而不是ls是为了避免层层cd浪费时间2/dev/null把权限报错扔掉防止输出被刷屏。在 Windows 上如果find不可用直接打开 Everything 搜同样能达到目的。有一点容易忽略PC 端微信默认不下载所有小程序包只有你真正打开过的小程序才会出现在缓存里。如果你要找的小程序从没在电脑上运行过先去 PC 端微信里打开一次等它加载完成再到目录里找。另外某些版本的微信把缓存目录改到了安装目录下如果你在文档目录里找不到就在微信安装目录里搜Applet关键词。2.3 加密包与明文包的差异一个字节就能判断在跑解密之前最好先确认手里的包是不是加密包。判断方法很简单用十六进制查看工具打开文件看最前面的几个字节。明文wxapkg有自己的魔数整体看起来结构规整加密包的前 16 个字节几乎无规律像是乱码而且文件大小通常比明文包大一些。我这里写个最小 Python 片段专门用来打印文件头判断你要处理的包是什么状态import pathlib p pathlib.Path(__APP__.wxapkg) data p.read_bytes()[:16] print(data.hex( )) print(PK 开头:, data[:2] bPK) print(文件大小:, p.stat().st_size)这段代码把前 16 个字节打印成十六进制并判断是不是 zip 常见的PK头。需要注意wxapkg未加密时也未必是PK开头所以这个脚本只是辅助判断最终能不能解还是要走一遍 wxappUnpacker 的解密流程但如果文件头明显是乱码且不是PK基本可以认定为加密包。提示无论文件头看起来是否正常都建议保留一份原始文件副本后面所有解密操作都基于副本执行。加密包一旦被工具误写坏重新去微信缓存里恢复更麻烦。3. wxappUnpacker 解压与运行环境准备下载、解压、装依赖3.1 前置条件Node.js 与 npm 版本核对wxappUnpacker是一个用 Node.js 写的命令行工具所以机器上必须有 Node 运行环境。版本方面不用太激进我用下来 Node 12 到 Node 16 之间都比较稳Node 18 以上偶尔会遇到某些依赖包不兼容导致的报错。先跑一下版本确认node -v npm -v如果提示找不到命令说明还没装 Node.js去官网下载 LTS 版本重新安装即可。不建议用系统自带的过老版本比如某些 Linux 发行版自带的 Node 8跑现代 npm 依赖会非常痛苦。装好之后把终端重启一次确保 PATH 生效。这里多说一句版本选择的原因wxappUnpacker依赖的esprima、js-beautify这类解析库对 JavaScript 引擎的版本有要求Node 过老时这些库还能跑但解析新语法会失败Node 过新时某些库又是按旧 API 写的可能出现DeprecationWarning甚至直接报错。所以卡在中间版本段是最省心的。3.2 解压 zip 压缩包并安装依赖拿到手的是一个 zip 压缩包里面装着 wxappUnpacker 的源码和相关说明。首先把它解压到纯英文路径下这是第一条血泪经验路径里一旦出现中文或空格Node 在解析模块路径时很容易翻车。建议放在用户目录下的 tools 目录里统一管理。mkdir -p ~/tools/wxapp cd ~/tools/wxapp unzip wxappUnpacker.zip -d wxappUnpacker cd wxappUnpacker npm install --productionunzip后面的-d指定解压目标目录避免压缩包里的文件散落一地npm install --production只装运行依赖不装开发依赖省时间也少踩坑。如果网络状况不好可以给 npm 配上国内镜像或者把安装过程多跑几遍。装完之后目录里应该出现一个node_modules文件夹没有它就说明安装没成功后续执行必报错。这里要特别提一句那些号称“免安装、解压即用”的压缩包极大概率已经把node_modules打包进去了。即便如此我依然建议在你的机器上重新执行一次npm install因为不同平台的二进制依赖不一样直接拿来跑可能因为缺少某些编译过的模块而出问题。尤其是 Windows 和 Linux 之间node_modules几乎不能互用。3.3 工具入口与调用约定解压后先别急着执行看一眼目录里有什么。常见入口有wuWxapkg.js、wuDecrypt.js或者一个bin子目录具体以压缩包内的 README 为准。我的习惯是先列出文件确认调用方式ls -l cat package.json | head -20package.json里的bin字段会写明命令名如果main字段指向了某个js文件也可以直接用node跑。wxappUnpacker的典型用法是传入一个.wxapkg文件路径工具会自动解析并输出同级的源码目录。不同分支的参数略有差异但核心思路一致这也是为什么我强调先看包内文档而不是背死某一条命令。如果你拿到的压缩包里没有package.json只有几个独立的js文件那可能是更早的脚本版本。这种版本通常不依赖 npm 包直接用node wuWxapkg.js就能跑但功能上会少一些比如不支持-d自动解密。遇到这种情况直接跳到第 4 章的 4.2 节走分步流程。4. 用 wxappUnpacker 解密与反编译两条命令拿到小程序源码4.1 自动解密解包一条命令跑通如果压缩包里的工具支持解密参数那么最省事的做法是一条命令同时完成解密和反编译。以常见的wuWxapkg.js为例-d参数表示遇到加密包时先解密再解包-o指定输出目录避免文件写到源目录里搞乱缓存cd ~/tools/wxapp/wxappUnpacker node wuWxapkg.js -d ~/Downloads/__APP__.wxapkg -o ~/Downloads/miniprogram_src这个命令把~/Downloads/__APP__.wxapkg作为输入在~/Downloads/miniprogram_src下生成还原后的工程。执行过程中如果工具能正常打出一行decrypt wxapkg之类的日志说明解密步骤生效。参数说明如下表参数作用不支持的替代方案-d先解密再解包去掉该参数改用 4.2 节分步流程-o指定输出目录先cd到目标目录再执行让产物落在当前目录输出完成后到目录里看结构find ~/Downloads/miniprogram_src -maxdepth 2 -type f | head -30这条find列出两层以内的文件正常情况下你能看到app.js、app.json、pages相关文件。如果只有零星几个文件或全是.js没有wxml/wxss先别再反复跑工具回到第 5 章对着现象排查。4.2 手动分步解密后再解包有些版本的工具把解密逻辑单独拆成了wuDecrypt.js或者你手里的包太新自动解密没有生效。这时就分两步走先解密得到明文包再解包。第一步node wuDecrypt.js ~/Downloads/__APP__.wxapkg ~/Downloads/__APP__.decrypted.wxapkgwuDecrypt.js接收两个参数第一个是加密的输入包第二个是解密后的输出路径。如果这个脚本连参数都不收而是直接原地改写那就先复制一份源文件再执行防止原始文件被破坏。第二步再解包node wuWxapkg.js -o ~/Downloads/miniprogram_src ~/Downloads/__APP__.decrypted.wxapkg把解密后的文件喂给解包工具-o指向输出目录。注意第二步操作的对象是__APP__.decrypted.wxapkg而不是原始的加密包这个顺序一旦搞反解出来的产物照样是乱码或报错。注意分步流程中解密脚本的输出文件名一定要和后缀都设置好。如果输出文件没有.wxapkg后缀解包工具可能因为类型判断问题拒绝执行。为什么要把两步拆开因为加密和解包是两个阶段的事情混在一起时一旦报错很难定位是解密失败还是解包失败。分开跑之后哪一步出错就去查哪一步的日志排查成本低得多。我自己在实际工作中基本都走分步流程即使工具支持-d我也倾向于先解一次密看一眼明文包的文件头再解包确认工具状态正常。4.3 反编译产物核对app.json、页面 wxml 与静态资源拿到产物后别急着高兴先做三项核对确认这次反编译是否真的完整。第一项看app.jsoncat ~/Downloads/miniprogram_src/app.jsonapp.json里有一个pages数组正常情况下每个页面路径都会在这里登记。顺手检查pages里的路径和pages目录下的实际文件是否一一对应如果有页面登记了但目录缺失说明该页面的编译数据丢了或者分包没有被处理。第二项看页面文件。随便挑一个页面确认它的.js、.wxml、.wxss三个文件都在ls -l ~/Downloads/miniprogram_src/pages/index/index.wxml里应该能看到结构化的标签比如view、button、text这些而不是一串无法识别的二进制。第三项看静态资源图片、字体、图标一般会落在assets或images目录里如果这些目录缺失不影响代码阅读但说明工具对部分资源没有还原。app.json里值得关注的字段除了pages还有subpackages分包列表、window窗口配置、tabBar底部导航。这些配置能帮你快速判断小程序的功能模块划分也决定了后面应该去哪些目录里找对应代码。比如一个带直播入口的小程序主包通常只保留 tab 页面直播相关逻辑全在分包里只解主包你会误以为“代码怎么这么少”。5. 解密反编译避坑清单现象、原因与排查方法跑通流程很容易难的是面对各种环境差异和微信版本升级。下面这五条是我实际操作中遇到的高频问题每条按现象、原因、解决的顺序写排查时可以直接对号入座。5.1 报错Cannot find module esprima依赖安装不完整现象执行node wuWxapkg.js时终端直接抛MODULE_NOT_FOUND提示找不到某个包如esprima、js-beautify。原因最直接的是npm install没跑完或者解压出来的压缩包自带node_modules与你当前 Node 版本不兼容。后者很隐蔽因为目录看起来是有依赖的但部分模块是编译过的二进制文件换机器后格式不对。解决先把现有依赖清理掉再重装。rm -rf node_modules package-lock.json npm install --production如果还是失败就检查是不是网络导致的安装中断换镜像源再跑一次。装完之后用ls node_modules/ | head看一眼关键目录是否生成确认无误再继续。5.2 在 Windows 上解压 zip 出现乱码文件名现象压缩包解压后工具目录或输出文件名变成乱码node执行时报“文件不存在”。原因压缩包在打包时对文件名用了非 UTF-8 编码Windows 自带的资源管理器解压后把编码搞坏了。这个和“zip 伪加密”属于同类问题都是压缩包元数据层面的坑而不是工具本身的问题。解决不要用资源管理器直接解压改用 7-Zip 或命令行unzip。如果解压后仍乱码说明压缩包内文件名编码本身有特殊处理可以用python -m zipfile -e wxappUnpacker.zip dest/这种方式让 Python 按标准 zip 规则解压一次通常能绕开 Windows 资源管理器的编码误判。5.3 解出来的产物只有app.js没有页面 wxml/wxss现象输出目录里只有几个全局文件页面目录下的wxml和wxss全部缺失。原因最常见的是分包没有单独处理。主包__APP__.wxapkg里只有入口和公共资源子包的内容在各自独立的wxapkg文件里只解主包自然拿不到完整页面。另一个原因是加密判断失败工具误把密文当明文跳过了部分资源的解析。解决去Applet目录下把所有wxapkg都找出来主包和分包逐一解密、逐一解包再把得到的多个输出目录合并对比。合并时注意app.json里的subpackages字段里面的路径和分包文件是能对上的。5.4 新版小程序用了 Skyline 或新编译产物还原结果参差不齐现象工具跑完没报错但解出的wxml里丢了很多标签或者变量名变成_n、_t之类的短名看起来根本不是人写的代码。原因微信近几个版本迭代了编译和渲染架构部分页面在包里已经不再是原始的wxml中间态而是更接近字节码或半编译产物。wxappUnpacker的做法对新格式支持不及时这也是“微信小程序逆向最新支持哪个版本”这个问题反复被问的原因——版本越新静态还原的完整度越低。解决不要强求还原到 100% 源码。这时候改走“运行时观察”路线把包解出来的app.js当作线索重点找wx.request和setData从接口和数据结构反推业务逻辑比硬啃不完整的模板高效。5.5 反编译成功但发现代码已被混淆无法直接阅读现象app.js里全是function t(e,n){...}这样的短函数名字符串也被base64或者自定义算法包了一层直接搜索关键词搜不到。原因开发者在上线前对自己的代码做了混淆处理。wxappUnpacker只负责还原包的结构不做任何代码语义还原混淆不是它该管的事。解决先搜索解密函数通常混淆工具会在app.js顶部留下一段解码器把它复制到浏览器控制台里单独执行再把加密字符串丢进去还原。这属于有耐心就能做的工作但也要提醒一句仅限于合规的审计和学习场景别拿去做越界的事情。6. 把反编译结果用起来在源码里定位接口与加密参数字段6.1 从 app.js 开始搜索wx.request反编译的最大价值不是读模板而是找到小程序和后端通信的接口定义。打开产物目录直接全局搜索grep -rn wx.request ~/Downloads/miniprogram_src | head -20grep -r递归搜索所有文件-n显示行号结果里你会看到每个请求的url和method。把这些url和抓包工具里的请求对照基本就能画出这个小程序的接口地图。如果请求参数里有签名再去对应页面 js 里搜索封装签名的方法名一般叫sign、md5、encrypt之类。6.2 用页面结构反推交互逻辑wxml里按钮、输入框的绑定事件名都是可读的例如bindtaponSubmit到同目录的.js里搜onSubmit就能看到该事件触发的完整逻辑链校验、组装参数、调接口、刷新数据。这个流程对核对 uniapp 开发产物或复现一个旧项目的业务逻辑非常实用。如果是小程序游戏或者带复杂交互的应用日志面板里的报错堆栈也能和反编译产物里的函数名对上定位效率会高很多。我个人的习惯是拿到反编译结果后先不碰代码先看app.json的 pages 列表和分包结构把页面数量、功能模块记下来再去逐页看事件绑定。就像拆螺丝先从外壳入手而不是一上来就动核心部件。这个习惯帮我避免了很多次“解包成功但不知道该从哪读起”的尴尬。希望这些步骤和踩坑记录能帮你少走一段弯路也把这个工具真正用起来。本文还有配套的精品资源点击获取
