微信公众号JS安全域方式下利用JAVA实现鉴权

Aikes902

于 2024-11-11 17:25:50 发布

阅读量620

点赞数 4

分类专栏： Java 文章标签：微信 javascript 安全

本文链接：https://blog.csdn.net/AikesLs/article/details/143689754

版权

Java 专栏收录该内容

31 篇文章

订阅专栏

一、背景

产品需求要给微信公众号挂载外部链接，实现移动端相关功能，其中涉及定位等用户隐私需要微信公众号进行授权。

整体流程不涉及微信回调，所以仅配置JS安全域实现微信公众号跳转到外部链接，剩余鉴权流程由后端服务进行处理。

需要注意：

1、微信公众号挂载外部链接需要通过企业认证

2、测试公众号可使用IP:PORT配置JS安全域，正式公众号必须使用域名+443或80端口

3、后端服务鉴权需要匹配前端页面地址，即JS安全域所配置的根域名，例如根域名：http://test.aikes.com，JS安全域配置为：test.aikes.com。

测试公众号时可配置内网环境，例如页面访问地址为：http://192.168.2.163:8085，JS安全域配置为：192.168.2.163:8085

二、鉴权逻辑

前端调用定位等微信官方API需要先实现权限配置，必填的四个参数需要后端返回（appid，时间戳、随机串、签名）

后端代码中将微信公众号app_id和app_secret配置在配置文件中，前端页面路径需要作为参数传入，具体代码逻辑如下：

package com.aikes.mdap.util;

import com.alibaba.fastjson.JSON;
import com.aikes.mdap.pub.exception.BusinessException;
import com.aikes.mdap.util.pojo.TokenView;
import com.aikes.mdap.util.pojo.WechatSignatureView;
import com.aikes.mdap.util.pojo.WechatView;
import lombok.extern.slf4j.Slf4j;
import org.apache.commons.lang3.StringUtils;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Component;

import java.io.UnsupportedEncodingException;
import java.net.URLDecoder;
import java.security.MessageDigest;
import java.util.Date;

/**
 * 微信鉴权
 */
@Slf4j
@Component
public class WechatUtils {

    @Autowired
    private WechatView mWechatView;

    private TokenView mTokenView = new TokenView();

    private static final String string = "abcdefghijklmnopqrstuvwxyz";

    private void getToken() {
        if (mTokenView != null && mTokenView.getExpires_in() != null && mTokenView.getExpires_in() > 60
                && StringUtils.isNotBlank(mTokenView.getTicket())) {
            log.info("获取到已存在的Token：" + JSON.toJSONString(mTokenView));
            return;
        }
        try {
            String access_tokenResult = HutoolHttpUtil.sendRequest(HutoolHttpUtil.GET, mWechatView.getUrl() + "/cgi-bin/token?grant_type=client_credential&appid=" + mWechatView.getApp_id() + "&secret=" + mWechatView.getApp_secret(), null);
            //{"access_token":"Rd8SiZEaW2SRSZKFVxsh_ZS1adNwWP7zRAGG44HFA9lSNQbxOS-2hySxsJKKzUfEqkTJUsN9l_25po9qtoSJUCquad9C-KBh5vFLWdheL4omiICDMsTXBMIho271Cz-qMHAgADAVQJ","expires_in":7200}
            mTokenView = JSONProcessUtil.parseJsonObject(access_tokenResult, TokenView.class);
            //######2 使用access_token获取jsapi_ticket
            //https://api.weixin.qq.com/cgi-bin/ticket/getticket?access_token=ACCESS_TOKEN&type=jsapi
            String jsapi_ticketResult = HutoolHttpUtil.sendRequest(HutoolHttpUtil.GET, mWechatView.getUrl() + "/cgi-bin/ticket/getticket?access_token=" + mTokenView.getAccess_token() + "&type=jsapi", null);
            //{"errcode":0,"errmsg":"ok","ticket":"kgt8ON7yVITDhtdwci0qefyIxUzYwFqAaiwhEj1TfdJZcuWSLVXoVHUC7V0qEq-tgWJ0OtvFCU5pzpOHylkW-Q","expires_in":7200}
            mTokenView = JSONProcessUtil.parseJsonObject(jsapi_ticketResult, TokenView.class);
            if(mTokenView == null || StringUtils.isBlank(mTokenView.getTicket())) throw new BusinessException("微信签名获取失败!");

            Thread separateThread = new Thread(() -> {
                while (true) {
                    mTokenView.setExpires_in(mTokenView.getExpires_in() - 1);
                    if(mTokenView.getExpires_in()<0) break;
                    try {
                        Thread.sleep(1000);
                    } catch (InterruptedException e) {
                        throw new RuntimeException(e);
                    }
                }
            });
            separateThread.start();
        } catch (Exception e) {
            mTokenView = null;
            log.error("获取Token失败：" + e.getMessage(), e);
        }
    }

    public WechatSignatureView dealSinature(String cAccessUrl) {
        log.info("cAccessUrl：" + cAccessUrl);
        this.getToken();
        //######3 签名算法
        //签名生成规则如下：参与签名的字段包括noncestr（随机字符串）, 有效的jsapi_ticket, timestamp（时间戳）, url（当前网页的URL，不包含#及其后面部分） 。
        //对所有待签名参数按照字段名的ASCII 码从小到大排序（字典序）后，使用URL键值对的格式（即key1=value1&key2=value2…）拼接成字符串string1。
        //这里需要注意的是所有参数名均为小写字符。对string1作sha1加密，字段名和字段值都采用原始值，不进行URL 转义。
        String nonceStr = getRandomString();
        long timestamp = new Date().getTime() / 1000;
        try {
            cAccessUrl = URLDecoder.decode(cAccessUrl.trim(), "UTF-8");
        } catch (UnsupportedEncodingException e) {
            throw new RuntimeException(e);
        }
        if(StringUtils.isBlank(mTokenView.getTicket())) throw new BusinessException("未获取到加密所需参数");
        String tStr = "jsapi_ticket=" + mTokenView.getTicket() + "&noncestr=" + nonceStr + "&timestamp=" + timestamp + "&url=" + cAccessUrl;
        log.info("加密前字符：" + tStr);
        String signature = getSha1(tStr);
        log.info("加密后字符：" + signature);
//		  appId: obj.appId, // 必填，公众号的唯一标识
//        timestamp: obj.timestamp, // 必填，生成签名的时间戳
//        nonceStr: obj.nonceStr, // 必填，生成签名的随机串
//        signature: obj.signature,// 必填，签名，见附录1
        return new WechatSignatureView(mWechatView.getApp_id(), String.valueOf(timestamp), nonceStr, signature);
    }

    private static int getRandom(int count) {
        return (int) Math.round(Math.random() * (count));
    }

    private static String getRandomString() {
        StringBuilder sb = new StringBuilder();
        int len = string.length();
        for (int i = 0; i < 20; i++) {
            sb.append(string.charAt(getRandom(len - 1)));
        }
        return sb.toString();
    }

    private static String getSha1(String str) {
        if (null == str || 0 == str.length()) {
            return null;
        }
        char[] hexDigits = {'0', '1', '2', '3', '4', '5', '6', '7', '8', '9',
                'a', 'b', 'c', 'd', 'e', 'f'};
        try {
            MessageDigest mdTemp = MessageDigest.getInstance("SHA1");
            mdTemp.update(str.getBytes("UTF-8"));

            byte[] md = mdTemp.digest();
            int j = md.length;
            char[] buf = new char[j * 2];
            int k = 0;
            for (int i = 0; i < j; i++) {
                byte byte0 = md[i];
                buf[k++] = hexDigits[byte0 >>> 4 & 0xf];
                buf[k++] = hexDigits[byte0 & 0xf];
            }
            return new String(buf);
        } catch (Exception e) {
            e.printStackTrace();
        }
        return "";
    }
}

通过调用dealSinature方法，进而实现Token获取、ticket获取等逻辑，根据传入的地址计算出最终的签名值，以下是调用方法：

JSON.toJSONString(mWechatUtils.dealSinature("http://192.168.2.36:8099/aikes/index.html"))

返回参数为：

{"appId":"xxxxx","nonceStr":"pebypblkfivfoglinqjj","signature":"5ff426db8e5a62bb2510f6ab9fb7bbbb637b4427","timestamp":"1730889458"}

根据返回参数前端再进行拼接调用即可，至此整个鉴权获取结束

PS：获取Token中增加了线程控制过期时间，防止频繁调用获取Token的接口

三、小结

微信公众号挂载外部链接整体流程还是比较繁琐，需要各方查阅资料才能捋清，特此记录一哈