wxpusher / wxpusher-docs Goto Github PK

我们（记为A）接收上行消息时，为了保证安全，有时需要确保该消息是wxpusher（记为B）推送的。
比如“发送指令重启服务”的情况，不仅要保证该用户是已知的管理员用户，还要保证该POST的请求来源是wxpusher，而不是第三方。

建议wxpusher后台回调时增加一个签名（使用消息内容和appToken），这样只要第三方拿不到token，就无法伪造请求来源。
具体的实现方法，个人想法是：

• B回调A时，在POST请求头中增加一个sign字段，该字段为整条JSON内容 + "-" + appToken用某种散列算法（MD5或者SHA1或者其他的算法）（记为hash(...)）进行签名
• A收到请求时，分两种情况：
  • 如果该回调地址只有一个app使用，则直接计算hash(整条JSON内容 + "-" + appToken)与sign比较，如果不相同则丢弃消息，相同则继续处理；
  • 如果有多个app使用同一个回调地址，则先解析消息内容得到appId，然后查得相应的appToken，再进行上面的处理
• 如果要防止重放攻击，A要进行额外的判断，如：
  • 整条消息是否在之前的x分钟内重复过？（只需判断sign是否重复过）
  • time字段和本地时间之差，是否在合理区间内？（小于x分钟）

这样既不会破坏旧的协议，也可以增加回调的安全性。希望这个建议能被采纳。

sdk默认模版消息发送，如何指定消息类型发送 普通发送 | 带链接的消息 | 长文本消息

接口 [/api/fun/remove] 出现异常：Optional long parameter 'id' is present but cannot be translated into a null value due to being declared as a primitive type. Consider declaring it as object wrapper for the corresponding primitive type.

在我提这条Issue的时候，加载出来了，就是有点慢，大概10s左右

1.用户扫描带参数的二维码,关注关注之后,没有用户关注提示 ,后台已设置
2.可否一次关注多个topic,并增加回调
3.怎样获取主题的订阅状态

官网-快速接入-注册并且创建应用 放的链接是http://wxpusher.zjiecode.com，这篇文档里面是http://wxpusher.zjiecode.com/admin，应该是这个文档里面的才对吧。

在我提这条Issue的时候，加载出来了，就是有点慢，大概10s左右

我查了一下后台，然后再历史消息里面看了下，是有的，但是微信没有推送出来。

建议把 新工单通知的 查看详情 的链接改为https协议