WeChat 공개 플랫폼 개발 보안 전략-위챗 개발-php.cn

WeChat 공개 플랫폼 개발 보안 전략

高洛峰

풀어 주다： 2017-03-03 10:11:58

원래의

2041명이 탐색했습니다.

WeChat 요청을 처리하는 서버가 WeChat 서버의 백엔드에 있지만 보안 문제는 여전히 과소평가될 수 없습니다.

관심을 끌기를 바라며 다음과 같은 측면을 폭넓게 요약합니다.

1. 매우 복잡한 토큰을 설정하고 서비스 주소 URL을 숨기려고 합니다.

URL: WeChat 요청을 처리하기 위한 링크 주소
토큰: 사용자 ID 자격 증명

개발자가 되기 위해 신청하거나 URLToken을 수정할 때 WeChat은 Get 요청을 통해 URL에 액세스하고 토큰이 필요한 서명을 확인합니다.

이 과정은 악수와 동일합니다. 악수가 성공하면 후속 통신이 수행될 수 있습니다.

위험:

1. URL과 토큰이 크랙되면 다른 링크로 바로 연결됩니다. 공개 계정은 서비스를 직접 도난당할 수 있습니다. 물론 일부 광고 유형 계정의 경우 이는 수익성이 없습니다. 그러나 특정 애플리케이션이나 서비스를 제공하고 다른 계정에 서비스를 무료로 제공하는 공개 계정이라면 필연적으로 서버에 대한 부담이 증가하고 특정 위험이 발생할 것입니다.

2. 토큰이 크랙되지 않더라도 URL이 크랙된 경우. 일부 범죄자는 해당 URL을 공격할 수도 있습니다. 물론 해커의 표적이 되기는 쉽지 않습니다. ㅎㅎ

제안:

1. 서비스 URL이 정보나 웹페이지 제공과 직접적인 관련이 없는지 확인하세요. 이를 방지하기 위해 서비스 URL은 URL을 기준으로 계산됩니다.

2. URL 리디렉션을 사용하여 일부 경로 정보를 숨길 수 있습니다.

3. 서비스 내 요청 소스가 WeChat 서버의 요청인지 확인합니다. 이는 요청된 URL에 따라 결정될 수 있으며 다른 요청은 처리되지 않습니다.

4. 토큰 가치는 최대한 복잡하게 만드세요.

2. 모든 요청에 대해 서명 확인을 수행하는 것이 좋습니다.

URL 또는 토큰을 설정한 후 WeChat은 백엔드 서비스에 액세스하기 위해 요청을 제출합니다. 확인이 통과되면 다른 모든 WeChat 요청은 POST를 통해 제출됩니다.

그래서 코드에서는 요청 방식에 따라 서명 검증을 수행할지 여부를 판단하는 경우가 많습니다. 이전 예에서는 다음도 사용되었습니다.

 /// <summary>
        /// 处理请求，产生响应
        /// </summary>
        /// <returns></returns>
        public string Response()
        {
            string method = Request.HttpMethod.ToUpper();
            //验证签名
            if (method == "GET")
            {
                if (CheckSignature())
                {
                    return Request.QueryString[ECHOSTR];
                }
                else
                {
                    return "error";
                }
            }

            //处理消息
            if (method == "POST")
            {
                return ResponseMsg();
            }

            return "无法处理";
        }

로그인 후 복사

다른 WeChat 요청은 POST로 제출되지만 URL의 URL에도 다음이 포함됩니다. 서명 정보도 필요하며 서명 인증도 수행해야 합니다. 따라서 보안상의 이유로 모든 요청에 대해 서명 인증을 수행하는 것이 좋습니다.

이 원칙에 따라 다음과 같이 코드를 수정합니다.

        /// <summary>
        /// 处理请求，产生响应        /// </summary>
        /// <returns></returns>
        public string Response()
        {            string method = Request.HttpMethod.ToUpper();            //验证签名
            if (method == "GET")
            {                if (CheckSignature())
                {                    return Request.QueryString[ECHOSTR];
                }                else
                {                    return "error";
                }
            }            //处理消息
            if (method == "POST")
            {                //验证签名
                if (CheckSignature())
                {                    return ResponseMsg();
                }
            }            return "无法处理";
        }

로그인 후 복사

서명 알고리즘 CheckSignature(), no 자세한 내용은 다음을 참조하세요. WeChat 공개 계정 개발을 위한 기본 프레임워크 구성

3. 확인 요청은 ToUserName

을 기반으로 할 수 있습니다. 일반적으로 공개 계정은 얻을 수 있는 openId에 해당합니다. 메시지를 처리할 때. 이 openId는 고정되어 있으며, 이를 기반으로 송신자의 신원 정보를 판별할 수 있습니다. 이런 방식으로 잘못된 메시지나 속임수를 아주 잘 필터링할 수 있습니다. 나에게 전송된 메시지만 처리하겠습니다. URL과 토큰이 크랙되더라도 백엔드 서비스는 여전히 보장되며 퍼블릭 계정에 대해서만 서비스를 제공할 수 있습니다.

/// <summary>
        /// 是否是发给我的呢
        /// </summary>
        /// <param name="toUserName">接受者</param>
        /// <returns>bool</returns>
        private bool IsSentToMe(string toUserName)
        {
            return string.Equals(toUserName,Context.OpenID,StringComparison.OrdinalIgnoreCase);
        }

로그인 후 복사

4. AppId 및 AppSecret

서비스 계정이라면 몇 가지 고급 기능이 있고, 이러한 고급 기능에는 개발자 자격 증명(AppId 및 AppSecret)이 필요합니다.

AppId 및 AppSecret을 기반으로 ACCESS_TOKEN을 얻을 수 있으며, 맞춤 메뉴 등 ACCESS_TOKEN을 기반으로 고급 기능을 관리할 수 있습니다.
ACESS_TOKEN의 만료 시간은 일반적으로 7200S입니다. 그러나 AppId와 AppSecret은 시스템에 의해 무작위로 생성되며 만료 시간이 없습니다. 수정이 필요한 경우 WeChat 공개 계정 관리 플랫폼에 로그인하여 재설정해야 합니다.

Access_Token을 얻으려면 Get

https://api.weixin.qq.com/cgi-bin/token?grant_type=client_credential&appid=xxxx&secret=xxxx.

로그인 후 복사

를 통해 다음 URL을 요청하세요.

Access_Token을 얻은 후 몇 가지 고급 인터페이스를 조작할 수 있습니다

예:

http 요청 방법을 통해 사용자 정의 메뉴 만들기: POST(https 프로토콜을 사용하세요.)

https://api.weixin.qq.com/cgi-bin/menu/create?access_token=ACCESS_TOKEN

로그인 후 복사

특정 구현의 경우 , 참조: WeChat 공개 계정 개발 사용자 정의 메뉴

ACCESS_TOKEN은 get 메소드를 통해 획득되는데, 이는 실제로 도난당할 경우 사용자 정의 메뉴의 링크를 수정하여 변경할 수 있습니다. 일부 광고 링크 또는 더 사악한 링크에 연결하면 귀하의 서버가 직접 다른 사람의 고기 기계가 됩니다. 그래서 우리는 서버의 보안을 보장해야 합니다. 보안상의 이유로 AppId 및 AppSecret(WeChat 공개 플랫폼의 백그라운드 서비스 페이지)을 가끔씩 재설정하는 것이 좋습니다. 가장 중요한 것은 허용된 서버의 보안을 보장하는 것입니다. 자세한 내용은 5를 참조하세요.