微信小程序学弟第二天-开发数据校验与解密

开放数据传输至微信数据服务器，微信数据服务器以session_key进行签名/加密，然后将加密的数据+签名+密文串打包发送给微信小程序，因为session_key是128位的随机数，几乎不可能被破解，所以无法被伪造签名，也就无法进行解密。
微信小程序获得数据后将其发送给开发者服务器，即我们的后台，后台在使用session_key来进行校验签名/解密，从何获取安全的开放数据。

在登录态过程中我们开发者按照流程应该把session_key存放起来了，比如storage中（微信小程序端），后台应该已经与openid及session_key进行关联，保证数据已经进行存放，这样可以使上述的加解密传输工作起到应有的作用。

数据签名校验

为了确保开放接口返回用户数据的安全性，微信会对明文数据进行签名。开发者可以根据业务需要对数据包进行签名校验，确保数据的完整性。
1.通过调用接口（入wx.getUserInfo）获取数据时，接口会同时返回rawData、signature，其中signature=sha1（rawData+session_key）
2.开发者将signature、rawData发送到开发者服务器进行校验。服务器利用用户对应的session_key使用相同的算法计算出签名signature2，比对signature与signature即可校验数据的完整性。

如wx.getUserInfo的数据校验
接口返回的rawData：

{
	“nickName”:\"Band\",
	\"gender\":1,
	\"language\":\"zh_CN\",
	\"city\":\"Guangzhou\",
	\"province\":\"Guangdong\",
	\"country\":\"CN\",
	\"avatarUrl\":\"http://wx.qlogo.cn/mmopen/vi_32/1vZvI39NWFQ9XM4LtQpFrQJ1xlgZxx3w7bQxKARol6503Iuswjjn6nIGBiaycAjAtpujxyzYsrztuuICqIM5ibXQ/0\"
}

用于签名的字符串为：

{\"nickName\":\"Band\",\"gender\":1,\"language\":\"zh_CN\",\"city\":\"Guangzhou\",\"province\":\"Guangdong\",\"country\":\"CN\",\"avatarUrl\":\"http://wx.qlogo.cn/mmopen/vi_32/1vZvI39NWFQ9XM4LtQpFrQJ1xlgZxx3w7bQxKARol6503Iuswjjn6nIGBiaycAjAtpujxyzYsrztuuICqIM5ibXQ/0\"}HyVFkGl5F5OQWJZZaNzBBg==

加密数据解密算法

接口如果涉及敏感数据（入wx.getUserInfo当中的openid和unionID）,接口的明文内容将不包含这些敏感数据。开发者如需要获取敏感数据，需要对接口返回的加密数据（encryptedData）进行对称解密。解密算法如下：
1、对称解密使用的算法为AES-128-CBC，数据采用PKCS#7填充。
2.对称解密的目标密文为 64_Decode（encryptedData）。
3.对称解密秘钥aeskey= 64_Decode(session_key)，aeskey是16字节。
4.对称解密算法初始向量为 64_Decode(iv)，其中iv由数据接口返回。
微信官方提供了多种编程语言的示例代码（点击下载）。每种语言类型的接口名字均一致。调用方法可以参照实例。