给小程序装大脑：接上大模型

Sat, 08 Aug 2026 09:30:00 +0800

数据我记了不少，可光看那一串数字，真看不出啥名堂。跑步记了、睡眠记了、花钱也记了，但谁有功夫天天对着表格琢磨？我当初一笔一笔认认真真记，本来就是想弄明白自己这段时间到底怎么样，可光把数存下来，它自己不会开口说话。

后来我就想，要是这小程序能像老朋友一样，翻完全部记录后跟我说一句：“你这周跑步三次都达标了，但睡眠连着三天晚过 11 点，下午犯困八成跟这个有关；再说记账里外卖比上周多花八十，刚好撞上你运动量往下掉——这俩事儿说不定连着。” 那才叫真有用。想做到这点，得给程序接个大模型当"大脑"。

说实话，这块我一开始是真发怵。大模型听着就吓人，什么 API、什么密钥、什么 token。但我最后还是用 WorkBuddy 配上腾讯的混元（hy3）把它跑通了。我得说清楚，我不是程序员，在能源行业干了二十多年，写代码这事儿以前碰都不碰。所以下面写的这些，你照着来也能成。

一、头一条：密钥千万别放进小程序里

我见过有人把 API Key 直接写进小程序代码。这等于把家门钥匙贴在门上，谁拿到安装包反编译一下，密钥就泄露了。

我的办法是用微信云开发的云函数 aiAnalyze，密钥交给云开发环境托管。小程序只管调这个函数，密钥长什么样它根本不知道。前端就这么一行：

// utils/aiClient.js —— 小程序这头只管"调函数"，密钥一个字都不出现
wx.cloud.callFunction({
  name: 'aiAnalyze',
  data: { summary: 聚合后的统计, context: { name, rangeLabel } },
  timeout: 60000
})

我后来想通一件事：前端代码对用户来说是透明的，就像明信片，谁都能看。所以密钥这种东西，只能待在服务器那一头。

想试的话，直接把这句话丢给 AI：
“我要让我的小工具调大模型，但怕密钥泄露。告诉我密钥该放哪、前端怎么调才安全。”

二、调用那点事（都是踩出来的坑）

环境是 CloudBase 加 @cloudbase/node-sdk 的 app.ai()。

真实在跑的代码是这样：

// 云函数 aiAnalyze：先把模型对象建好，再调用
const ai = app.ai()
const model = ai.createModel('cloudbase')
const res = await model.generateText({ model: 'hy3', messages })

我在这栽过俩跟头，你别重蹈：

有回写成 app.ai().streamText(...)，跑不起来。后来才明白，streamText 这些方法是在 model 上，不在 app.ai() 上。
@cloudbase/node-sdk 得 >=3.16.0，版本低了直接报错，我对着屏幕愣了半天。

模型我用的是腾讯混元 hy3，效果够用。

给 AI 的提示词可以这么写：
“我用 CloudBase 的 app.ai() 调大模型，给我一段最小可运行代码，再列三个最容易踩的坑。”

三、让 AI 吐"结构化数据"，别吐"作文"

这一步是我自己拍板改的，挺关键。原来我用了 towxml 库加一个 decode 页面来渲染 AI 返回的 Markdown，后来一琢磨不对：小程序里塞个解析库，又占地方又容易崩。我干脆把那套删了，让模型只返回固定格式的 JSON，比如 { title, highlights[], suggestions[] }，我拿过来直接画卡片。

云函数里是这么约束它的：

1
2
3

// 系统提示词里把结构写死，模型只能往里填；再用 extractJson 兜底提取
const result = extractJson(raw)   // 前端不用再解析一遍
// result: { title, highlights:[...], suggestions:[...] }

为啥非得结构化？因为散文式的回复，你还得再写代码去拆，拆着拆着就容易出错。让它直接给你表格，省一层麻烦。

提示词参考：
“我要让 AI 返回固定格式的数据而不是文章，给我一个用提示词强制输出 JSON 的写法，并说明怎么防止它乱加废话。”

四、不写代码也能用：让 AI 帮你写周报

怕你觉得上面这些只对写程序的有用，我找个纯办公、不用写代码的例子收个尾，写周报。

套路一模一样：

安全：“别把公司密钥贴进任何文档，用公司允许的 AI 工具处理。”
调用：“把本周干的事丢给 AI，让它总结。”
结构化：“按’做了啥 / 亮点 / 下周计划’三栏返回，别写成长文。”
验收：“一条条对，它编的删掉，漏的你自己补上。”

你看，代码一行都不用会。你只要会"给 AI 派活 + 验收结果"，安全配置、数据分析、结构化处理等技术活AI都能替你完成。

五、接 AI 之前，先过一遍这张清单

建议截图存着，以后给任何工具接大模型前扫一眼：

✅	接 AI 前自查
1	密钥在服务器端吗？前端一个字都不出现？
2	调用方式抄对了吗？（方法在哪个对象上、SDK 版本够不够）
3	让 AI 返回固定结构了吗？（别要散文）
4	它给的 output，你逐条核对了吗？
5	每次，我都是自己验收的吗？（这条最要命）

收尾

AI 是把写程序的门槛削低了，可"怎么接才安全、接完怎么拿到能用的东西"，这俩问题还是得你自己拿主意。

下一篇聊最后一环：功能有了、脑子也有了，怎么让人"天天回来用"。签到、成就、订阅消息，我下回细说。