微信Token验证

关注

转载最新推荐文章于 2026-04-11 23:05:10 发布 5.4k 阅读 AI 写同款· GEO 优化 ›

微信小程序发送消息 Token校验失败，请检查确认开发者通过检验 signature 对请求进行校验（下面有校验方式）。若确认此次 GET 请求来自微信服务器，请原样返回 echostr 参数内容，则接入生效，成为开发者成功，否则接入失败。如果使用的是springboot，则返回的string总是这样带引号这样的。以上即为本文全部内容，完。如上图，文档中说的是。搞了一阵子，可以了。阅读详情

2.1.2 Token 验证

Token 是一个任意的字符串，你提交 Token 给微信后台之后，只有你和微信后台知道这个字符串是什么，也就是只有微信后台和我们的公众账号服务器知道这个字符串。于是 Token 就成了这两台服务器之间的密钥，它可以让公众账号服务器确认请求是来自微信后台还是恶意的第三方。具体过程如下:
1)微信后台在发送数据给公众账号服务器的时候，会额外带上3 个参数: signature、timestamp、nonce。其中 timestamp 是时间戳、nonce 是一个随机数、signature 是对 timestamp、nonce 和 Token 进行 SHA1 加密后的字符串。SHA1 的加密过程是不可逆的，即不能通过 signature、timestamp 和 nonce 计算出 Token 是什么。
2)在公众账号服务器收到 timestamp、nonce 和 signature 之后，同样对 nonce、timestamp 和 Token 使用 SHA1 加密算法，得到自己的签名，如果自己的签名和请求中的 signatrue 是一样的，那么说明请求是来自微信后台而不是恶意第三方。

注意恶意的第三方有可能会截获到微信后台发过来的 signature、timestamp 和 nonce 三个参数，然后直接用这个三个参数来对公众账号服务器发起请求。按照上面的逻辑是无法判断的出这是个恶意的请求。这种攻击称为“replay 攻击”。这种攻击方式的防御方法很简单:加上对 timestamp 的校验。收到请求之后，我们将请求包中的 timestamp 和当前时间比较，如果误差大于一定的值就可以认为这个请求是恶意的。这里不能做相等的比较，因为数据在网络上传输需要时间，同时各个服务的本地时间也是有一些差异的。

具体如何通过代码实现这些，我们会在下一章讲解。