LMLPHP后院

扫码查看  原文链接 : https://blog.lmlphp.com/archives/419/The_big_pit_of_the_introduction_of_WeChat_development  来自 : LMLPHP后院

微信开发入门的大坑，微信官方建议开启服务器加密配置，但官方 SDK 给出错误的代码示例，误导开发者。

经过一番折腾，终于成功的实现了加解密和微信通信。

<xml><ToUserName><![CDATA[gh_6d0d825351ee]]></ToUserName><FromUserName><![CDATA[og-TK5kTi8ujOfh36bkTPcQvMCBk]]></FromUserName><CreateTime>1544275857</CreateTime><MsgType><![CDATA[text]]></MsgType><Content><![CDATA[好]]></Content><MsgId>6632614303346723864</MsgId></xml>


<xml><Encrypt><![CDATA[pLqOSM2NZ5Yy/V3fEN5TMhieUoGT8CJ7vKVvhG3Rwmr9lAYD8Dmp6JMp0boP1cfHMx8kmiXpnbZtV+IqvXfQzKwykPASE4GK0Nj4RXumvZ4uUuCPP/0E85BHBy+RvxjvnxturqmAStNiJ55GA/e0aHXxv+ubGoRhXpDN7YGIbPj9JRl34F3sBXEbF71+kgG92NspWz8JryjiGYCrJUrYKtnrio+swAqMxL4i1SEGzg3jvE6xYUtMluLigFcKkEzggk0yxRLSDU7+jFRTCKJPGsJ7XYMH9YsTQ7Uv0j5juiTJ5Mm7APp9pZhvm9vmmTRjleW35gr/PYZDB3qAIm5oP5Ckufi3OSBh9OY+7O5dwquLD1N0t3tOZr5h/NCs0CoF]]></Encrypt><MsgSignature><![CDATA[3bc38303e72bc8c2a603add418e46496521e8405]]></MsgSignature><TimeStamp>1544285690</TimeStamp><Nonce><![CDATA[478380264]]></Nonce></xml>

大家看一看微信官方的代码 PHP SDK 示例：

/**                                                                                                                                                                                    
 * 对明文进行加密
 * @param string $text 需要加密的明文
 * @return string 加密后的密文
 */
public function encrypt($text, $appid)
{

        try {
                //获得16位随机字符串，填充到明文之前
                $random = $this->getRandomStr();
                $text = $random . pack("N", strlen($text)) . $text . $appid;
                // 网络字节序
                $size = mcrypt_get_block_size(MCRYPT_RIJNDAEL_128, MCRYPT_MODE_CBC);
                $module = mcrypt_module_open(MCRYPT_RIJNDAEL_128, '', MCRYPT_MODE_CBC, '');
                $iv = substr($this->key, 0, 16);
                //使用自定义的填充方式对明文进行补位填充
                $pkc_encoder = new PKCS7Encoder;
                $text = $pkc_encoder->encode($text);
                mcrypt_generic_init($module, $this->key, $iv);
                //加密
                $encrypted = mcrypt_generic($module, $text);
                mcrypt_generic_deinit($module);
                mcrypt_module_close($module);

                //print(base64_encode($encrypted));
                //使用BASE64对加密后的字符串进行编码
                return array(ErrorCode::$OK, base64_encode($encrypted));
        } catch (Exception $e) {
                //print $e;
                return array(ErrorCode::$EncryptAESError, null);
        }
}

/**
 * 对密文进行解密
 * @param string $encrypted 需要解密的密文
 * @return string 解密得到的明文
 */
public function decrypt($encrypted, $appid)
{

        try {
                //使用BASE64对需要解密的字符串进行解码
                $ciphertext_dec = base64_decode($encrypted);
                $module = mcrypt_module_open(MCRYPT_RIJNDAEL_128, '', MCRYPT_MODE_CBC, '');
                $iv = substr($this->key, 0, 16);
                mcrypt_generic_init($module, $this->key, $iv);

                //解密
                $decrypted = mdecrypt_generic($module, $ciphertext_dec);
                mcrypt_generic_deinit($module);
                mcrypt_module_close($module);
        } catch (Exception $e) {
                return array(ErrorCode::$DecryptAESError, null);
        }


        try {
                //去除补位字符
                $pkc_encoder = new PKCS7Encoder;
                $result = $pkc_encoder->decode($decrypted);
                //去除16位随机字符串,网络字节序和AppId
                if (strlen($result) < 16)
                        return "";
                $content = substr($result, 16, strlen($result));
                $len_list = unpack("N", substr($content, 0, 4));
                $xml_len = $len_list[1];
                $xml_content = substr($content, 4, $xml_len);
                $from_appid = substr($content, $xml_len + 4);
        } catch (Exception $e) {
                //print $e;
                return array(ErrorCode::$IllegalBuffer, null);
        }
        if ($from_appid != $appid)
                return array(ErrorCode::$ValidateAppidError, null);
        return array(0, $xml_content);

}

官方给出了过时的代码不说，最最重要的是给出了错误的加密解密方法，这样哪怕开发者用正确的代码对接，却永远也对接不上。示例上给出的是 128 CBC，而实际上成功对接的代码是 AES-256-CBC。

目前对于 PHP 而言，是个比较尴尬的处境，论影响力，PHP 在 web 开发地位还是有的。但各大技术平台的热度方面 Java, Python, C++, .Net, Go 都在 PHP 之上。

这里给 PHP 的开发者一个建议，不要使用 Nginx 做 PHP 的服务器，Nginx 天生对 PHP 不友好，Nginx 的配置难懂且复杂，是哪个孙子说 Nginx 好配置的，看我不打断它的腿。用 PHP 和 Apache 吧，他们才是最佳配合，Apache 支持目录配置，秒杀 Nginx 一条街。

最近写文章时间越来越少，能提笔不容易啊。