微信小程序API 用户数据的签名验证和加解密.pdfVIP

微信⼩程序API ⽤户数据的签名验证和加解密 ⽤户数据的签名验证和加解密 数据签名校验 为了确保 开放接⼜ 返回⽤户数据的安全性，微信会对明⽂数据进⾏签名。开发 可 以根据业务需要对数据包进⾏签名校验，确保数据的完整性。 1. 签名校验算法涉及⽤户的session_key ，通过 wx .login 登录流程获取⽤户 session_key ，并⾃⾏维护与应⽤⾃⾝登录态的对应关系。 2. 通过调⽤接⼜ （如 wx .getUserInfo ）获取数据时，接⼜会同时返回 rawData、 signature ，其中 signature = sha1( rawData + session_key ) 3. 开发 将 signature 、rawData 发送到开发 服务器进⾏校验。服务器利⽤⽤户 对应的 session_key 使⽤相同的算法计算出签名 signature2 ，⽐对 signature 与 signature2 即可校验数据的完整性。 如wx.getUserInfo 的数据校验： 接⼜返回的rawData ： { nickName: Band, gender: 1, language: zh_CN, city: Guangzhou, province: Guangdong, country: CN, avatarUrl: http: wx . mmopen vi_32 1vZvI39NWFQ9XM4Lt } ⽤户的 session-key ： HyVFkGl5F5OQWJZZaNzBBg== 所以，⽤于签名的字符串为： {nickName:Band,gender:1,language:zh_CN,city:Guangzho 使⽤sha1得到的结果为 75e81ceda165f4ffa64f4068af58c64b8f54b88c 加密数据解密算法 接⼜如果涉及敏感数据 （如wx .getUserInfo当中的 o enId 和unionId ），接⼜的明 ⽂内容将不包含这些敏感数据。开发 如需要获取敏感数据，需要对接⼜返回的加密 数据( encryptedData )进⾏对称解密。解密算法如下： 1. 对称解密使⽤的算法为 AES-128-CBC ，数据采⽤PKCS#7填充。 2. 对称解密的⽬标密⽂为 Base64_Decode(encry tedData), 3. 对称解密秘钥 aeskey = Base64_Decode(session_key), aeskey 是16字节 4 . 对称解密算法初始向量 iv 会在数据接⼜中返回。 微信官⽅提供了多种编程语⾔的⽰例代码 （点击下载）。每种语⾔类型的接⼜名字均 ⼀致。调⽤⽅式可以参照⽰例。 另外，为了应⽤能校验数据的有效性，我们会在敏感数据加上数据⽔印( watermark ) watermark参数说明： 参数 类型 说明 watermark OBJECT 数据⽔印 a id String 敏感数据归属a id ，开发 可校验此参数与⾃⾝a id是否⼀致 timestam DateInt 敏感数据获取的时间戳, 开发 可以⽤于数据时效性校验 如接⼜//www .w3cschool .cn/weixina /weixina -o en .html敏感数据当中的watermark ： { openId: OPENID, nickName: NICKNAME, gender: GENDER, city: CITY, province: PROVINCE, country: COUNTRY, avatarUrl: AVATARURL, unionId: UNIONID, watermark: { appid:APPID, timestamp:TIMESTAMP } } 注：此前提供的加密数据 （encryptData）以及对应的加密算法将被弃⽤，请开发 不 要再依赖旧逻辑。 W3Cschool （ ）最 的技术知