企业微信开发：自建应用：接收消息（企业内部服务器）/回调配置

我就是我 2024-02-05 20:04 60阅读 0赞

## 概述 ##

在企业微信的`自建应用`中，用户触发了某些行为（发送消息、进行菜单操作或者外部联系人变更等），要发送相关信息给`企业内部服务器`。

> 备注：**接收消息** 和 **回调**，在本文中指代相同的行为，即企业微信服务器向企业内部服务器发送消息。之所以有不同的说法，是由于企业微信官方开发文档和管理后台的说法差异导致的。

企业微信的开发文档，参考：[回调配置][Link 1]。

## 使用情景 ##

*  **自定义丰富的服务行为**。比如，用户向应用发消息时，识别消息关键词，回复不同的消息内容；用户点击应用菜单时，转化为指令，执行自动化任务。
 *  **可以及时获取到状态变化**。比如，通讯录发生变化时，不需要定时去拉取通讯录对比，而是实时地获取到变化的通讯录节点，进行同步。

## 企业微信-管理页面，配置`接收消息` ##

这里的接收消息，指的是`企业内部服务器`接收`企业微信服务器`发送的消息。

![在这里插入图片描述][d7a0826757d641ce9a1e08c6b231c243.png]

点击 `设置API接收`，进入如下配置页面：  
![在这里插入图片描述][865470d1d97448d4bebd11e817234fd5.png]

## 配置说明 ##

配置`API接收消息`，需要有三个配置项，分别是：**URL**, **Token**, **EncodingAESKey**。

### URL：企业服务器地址 ###

URL为`回调服务地址`，由开发者搭建，用于接收通知消息或者事件。  
![在这里插入图片描述][3890007e06a34d54a621fb48be2d949c.png]

### Token：签名密钥 ###

Token用于`计算签名`，由英文或数字组成且长度不超过32位的自定义字符串。

开发者提供的`URL`是`公开可访问的`，这就意味着任何人拿到这个URL，都可以向该接口推送消息。为了保证`URL服务`的安全性，需要解决两个问题：

*  确认`请求来源`是企业微信；
 *  确认消息内容`没有被篡改`；

解决办法：**数字签名**。

具体为：约定Token作为密钥，仅开发者和企业微信知道，在传输中不可见，用于计算签名。企业微信在推送消息时，将消息内容与Token计算出签名，并将消息内容和签名一起传递给`企业内部服务器`。`企业内部服务器`接收到推送消息时，也按相同算法计算出签名。如果为同一签名，则可信任来源为企业微信，并且内容是完整的（没有被篡改）。

![在这里插入图片描述][f0340084ed224289b1ff48c7e5780477.png]

*  如果非企业微信来源，由于攻击者没有正确的Token，无法算出正确的签名；
 *  如果消息内容被篡改，由于开发者会将接收的消息内容与Token重算一次签名，该值与参数的签名不一致，则会拒绝该请求。

### EncodingAESKey：消息加密密钥 ###

EncodingAESKey 用于`消息内容加密`，由英文或数字组成且长度为43位的自定义字符串。

由于消息是在公开的因特网上传输，**消息内容是可被截获的**，如果内容未加密，则截获者可以直接阅读消息内容。若消息内容包含一些敏感信息，就非常危险了。

EncodingAESKey 就是在这个背景基础上提出的，将发送的内容进行加密，并组装成一定格式后再发送。

![在这里插入图片描述][dfaef77a7d004b5ea25f69885376a4e8.png]

## 回调服务实现 ##

配置回调服务时，需要能同时支持`HttpGet`以及`HttpPost`两种能力，

*  企业微信会先判断URL服务是否具备解析企业微信推送消息的能力。  
    具体方式是，企业微信往URL服务上发一条Get请求带签名及密文参数到URL服务上，如果URL服务检查签名通过，并能正确返回密文参数对应的明文字符串，则验证通过。此时在企业微信的配置就开始生效。
 *  后续的业务请求（比如应用菜单的点击事件，用户消息等），都会类似的方式（签名+密文）向服务URL推送消息。URL服务验证签名通过后，需要将POST数据解密，就可以得到对应的业务消息明文。

![在这里插入图片描述][02a3441a6643460aa86e0da9f92d9337.png]

官方文档中，包含进一步的示例：

*  支持 `Http Get` 请求，验证URL有效性
 *  支持 `Http Post` 请求，接收业务数据

具体实现细节，请参考官方文档：[回调服务需要实现哪些功能][Link 2]

[Link 1]: https://developer.work.weixin.qq.com/document/path/90930
[d7a0826757d641ce9a1e08c6b231c243.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/519d899e4590472f9174ec7c6a5cf5e5.png
[865470d1d97448d4bebd11e817234fd5.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/efd8a4284a934220a73619673118c922.png
[3890007e06a34d54a621fb48be2d949c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/a2e291689a5f45cca39d231c58944c79.png
[f0340084ed224289b1ff48c7e5780477.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/5218dfd4f7b5451ba75617375a52f125.png
[dfaef77a7d004b5ea25f69885376a4e8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/ec557eda7a3d4921a7c7fcf24ebffc77.png
[02a3441a6643460aa86e0da9f92d9337.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/b969f1f08b32401bbc9ace5eb5be7012.png
[Link 2]: https://developer.work.weixin.qq.com/document/path/90930#3-%E5%9B%9E%E8%B0%83%E6%9C%8D%E5%8A%A1%E9%9C%80%E8%A6%81%E5%AE%9E%E7%8E%B0%E5%93%AA%E4%BA%9B%E5%8A%9F%E8%83%BD