El navegador que toma sin preguntar
Carga un WebView y la pagina hereda toda la superficie del navegador: lee almacenamiento, usa geolocalizacion, abre la camara y accede a la red con poco mas que un aviso que el usuario ya aprendio a aceptar. No hay un limite duradero y por programa: el mismo motor que renderiza tu contenido guarda las llaves. Una pagina maliciosa o descuidada toma; el usuario se entera despues.
Un runtime de mini-programa invierte ese defecto. Las API sensibles se protegen tras un alcance que el programa debe declarar, el usuario debe conceder y puede revocar. El programa pide lo que necesita, no todo de golpe.
Que es un modelo de permisos por alcance
El runtime expone capacidades sensibles (ubicacion, camara, agenda, pago) solo mediante alcances nombrados y declarados. El usuario aprueba cada alcance en el primer uso, y la concesion se ata a ese programa, no a todo el super-app. WeChat documenta esto con su modelo de autorizacion por scope; las guias de Apple y OWASP tratan el alcance y el consentimiento como higiene movil basica. La especificacion W3C Permissions consagra el mismo patron de pregunta, luego accede.
Donde se nota la diferencia
| Paso | WebView (acceso silencioso) | Runtime de mini-programa (por alcance) |
|---|---|---|
| Acceso a API | Heredado al cargar | Alcance declarado mas consentimiento |
| Control del usuario | Aviso que se acepta | Concesion por programa, revocable |
| Radio de impacto | Motor completo | Un programa |
| Pista de auditoria | Dificil de rastrear | Lista de alcances declarados |
| Revocacion | Borrar datos de la app | Revocar en ajustes |
El resultado es un limite que el WebView nunca tuvo: un programa solo puede hacer lo que el usuario permitio explicitamente.
Por que preguntar vence a tomar
Un modelo revocable y por alcance significa que un programa con fuga o malicioso no puede exfiltrar en silencio las capacidades del dispositivo: la lista de permisos es visible y la concesion se puede quitar. Tambien significa que los datos del super-app quedan fuera del alcance del programa, porque nunca recibio acceso amplio a nivel de motor.
Como lo aplica Cross Mini App
Cross Mini App ejecuta los programas en un runtime que protege cada API sensible tras un alcance declarado y consentido por el usuario, con revocacion en los ajustes del super-app. Un programa obtiene exactamente las capacidades que pidio y nada mas. Dejas de heredar las llaves del navegador y empiezas a conceder acceso a proposito.
Esa es la diferencia entre una pagina que toma el poder del motor y un programa que gana la confianza del usuario.
