防止活动上线时 微信openid 被伪造的解决办法

背景

前不久上线了一个 campaign 项目，一个 h5，后端为php，用户可以在微信中通过网页授权的方式登录，然后用微信 openid 作为唯一标识符进行签到和抽奖的操作。

结果后期出现了很多脏数据来冒领抽奖的操作，这些脏数据的出现是因为 openid 被伪造从而顺利入库。

方法

解决问题的思路就是不让 openid 伪造，有两种办法：

方法一、每次获取 openid 参数时，调用微信公众平台的“获取用户基本信息”的接口

方法二、采用 openid 加密的方法

改造后的业务流程图

这里需要改造两块代码：

1、微信授权接口

2、campagin api接口

采用对称加密

如上图所示：

加密工具函数的代码如下：

function encrypt($string, $operation, $key = '')

{

    $key = md5($key);

    $key_length = strlen($key);

    $string = $operation == 'D' ? base64_decode($string) : substr(md5($string . $key), 0, 8) . $string;

    $string_length = strlen($string);

    $rndkey = $box = array();

    $result = '';

    for ($i = 0; $i <= 255; $i++) {

        $rndkey[$i] = ord($key[$i % $key_length]);

        $box[$i] = $i;

    }

    for ($j = $i = 0; $i < 256; $i++) {

        $j = ($j + $box[$i] + $rndkey[$i]) % 256;

        $tmp = $box[$i];

        $box[$i] = $box[$j];

        $box[$j] = $tmp;

    }

    for ($a = $j = $i = 0; $i < $string_length; $i++) {

        $a = ($a + 1) % 256;

        $j = ($j + $box[$a]) % 256;

        $tmp = $box[$a];

        $box[$a] = $box[$j];

        $box[$j] = $tmp;

        $result .= chr(ord($string[$i]) ^ ($box[($box[$a] + $box[$j]) % 256]));

    }

    if ($operation == 'D') {

        if (substr($result, 0, 8) == substr(md5(substr($result, 8) . $key), 0, 8)) {

            return substr($result, 8);

        } else {

            return '';

        }

    } else {

        return str_replace('=', '', base64_encode($result));

    }

}

function encrypt_string($str)

{

    $key = 'test'; //这里的$key是密钥，请自行定义

    return encrypt($str, 'E', $key); //加密

}

function decode_string($str)

{

    $key = 'test'; //这里的$key是密钥，请自行定义

    return encrypt($str, 'D', $key); //解密

}

调用：

$openid_param = encrypt_string($openid_param);

$openid_param = decode_string($openid_param);

//如果$openid_param === false，则openid非法！