O navegador que toma sem perguntar
Carregue um WebView e a pagina herda toda a superficie do navegador: le armazenamento, usa geolocalizacao, abre a camera e acessa a rede com pouco mais que um aviso que o usuario ja aprendeu a aceitar. Nao ha um limite durável e por programa: o mesmo motor que renderiza seu conteudo guarda as chaves. Uma pagina maliciosa ou descuidada toma; o usuario descobre depois.
Um runtime de mini-programa inverte esse defeito. As APIs sensiveis sao protegidas atras de um escopo que o programa deve declarar, o usuario deve conceder e pode revogar. O programa pede o que precisa, nao tudo de uma vez.
O que e um modelo de permissoes por escopo
O runtime expoe capacidades sensiveis (localizacao, camera, agenda, pagamento) apenas por meio de escopos nomeados e declarados. O usuario aprova cada escopo no primeiro uso, e a concessao fica atrelada aquele programa, nao a todo o super-app. O WeChat documenta isso com seu modelo de autorizacao por scope; as diretrizes da Apple e a OWASP tratam escopo e consentimento como higiene movel basica. A especificacao W3C Permissions consagra o mesmo padrao de pergunte, depois acesse.
Onde a diferenca aparece
| Passo | WebView (acesso silencioso) | Runtime de mini-programa (por escopo) |
|---|---|---|
| Acesso a API | Herdado ao carregar | Escopo declarado mais consentimento |
| Controle do usuario | Aviso que se aceita | Concessao por programa, revogavel |
| Raio de impacto | Motor completo | Um programa |
| Trilha de auditoria | Dificil de rastrear | Lista de escopos declarados |
| Revogacao | Apagar dados do app | Revogar nas configuracoes |
O resultado e um limite que o WebView nunca teve: um programa so pode fazer o que o usuario permitiu explicitamente.
Por que pedir vence a tomar
Um modelo revogavel e por escopo significa que um programa com vazamento ou malicioso nao pode exfiltrar silenciosamente as capacidades do dispositivo: a lista de permissoes e visivel e a concessao pode ser retirada. Tambem significa que os dados do super-app ficam fora do alcance do programa, porque ele nunca recebeu acesso amplo a nivel de motor.
Como a Cross Mini App aplica
A Cross Mini App executa os programas em um runtime que protege cada API sensivel atras de um escopo declarado e consentido pelo usuario, com revogacao nas configuracoes do super-app. Um programa obtem exatamente as capacidades que pediu e nada mais. Voce deixa de herdar as chaves do navegador e passa a conceder acesso de proposito.
Essa e a diferenca entre uma pagina que toma o poder do motor e um programa que conquista a confianca do usuario.
