小程序：JS AES加密解密(ECBCBC)

序言：介绍一下javascript下AES加密和解密，运用的工作模式为ECB(电码本模式Electronic Codebook Book),填充方式为(NoPadding),及CBC(密码分组链接模式Cipher Block Chaining)。这里用到的是CryptoJS。

经常看到有点的小伙伴在群里问小程序用户数据解密流程，所以打算写一篇关于小程序用户敏感数据解密教程；

加密过程微信服务器完成，解密过程在小程序和自身服务器完成，即由 encryptData 得到如下数据:

准备知识：

以上3点对于理解解密流程非常重要 。

根据官方文档，我梳理了大致的解密流程，如下：

重点在6、7、8三个环节。

AES解密三个参数：

服务端解密流程：

下面结合小程序实例说明解密流程：

最后的效果如下:

如果你的小程序没有绑定微信开放平台，解密的数据中不包含unionid参数

小程序绑定微信开放平台连接

从解密的数据看，算得上敏感的数据只有appid；个人觉得openid不是敏感数据，每个用户针对每个公众号会产生一个安全的openid；openid只有在appid的作用域下可用。除非你的appid也泄露了。

那么可以从解密数据得到appid，微信小程序团队是何用意呢？还是前面那句话，openid脱离了appid就什么都不是，openid和appid一起为了方便小程序开发者做到不同小程序应用之间用户区分和隔离，同时能够将微信用户体系与第三方业务体系结合。

所以我认为敏感数据解密的主要用处不是解密后回传给客户端，而是在服务端将微信用户信息融入到自身业务当中。

微信小程序提示短信配置填写的方法详细内容如下：

第一步：填写服务器配置

登录微信小程序官网后，在小程序官网的“设置-消息服务器”页面，管理员扫码启用消息服务，填写服务器地址（URL）、Token 和 EncodingAESKey。

URL是开发者用来接收微信消息和事件的接口URL。 Token可由开发者可以任意填写，用作生成签名（该Token会和接口URL中包含的Token进行比对，从而验证安全性）。 EncodingAESKey由开发者手动填写或随机生成，将用作消息体加解密密钥，同时，开发者可选择消息加解密方式：明文模式、兼容模式和安全模式。可以选择消息数据格式：XML格式或JSON格式。加密方式的默认状态是明文格式，而数据格式的默认状态是XML格式，模式的选择与服务器配置在提交后都会立即生效，请开发者谨慎填写及选择。

第二步：验证消息来自微信服务端，开发者提交信息后，微信服务器将发送GET请求到填写的服务器地址URL上，GET请求携带参数如下表所示：

参数描述

signature微信加密签名，signature结合了开发者填写的token参数和请求中的timestamp参数、nonce参数。

timestamp时间戳

nonce随机数

echostr随机字符串

开发者通过检验signature对请求进行校验（下面有校验方式）。若确认此次GET请求来自微信服务器，请原样返回echostr参数内容，则接入生效，成为开发者成功，否则接入失败。加密/校验流程如下： 1、将token、timestamp、nonce三个参数进行字典序排序 2、将三个参数字符串拼接成一个字符串进行sha1加密 3、开发者获得加密后的字符串可与signature对比，标识该请求来源于微信，要注意的是签名验证通过之后，要返回的echostr字段是字符串，而不是对象。如果返回写的是 ctx.body = { echostr }就会显示token验证失败。

第三步：依据接口文档实现业务逻辑，验证URL有效性成功后即接入生效，成为开发者。至此用户向小程序客服发送消息、或者进入会话等情况时，开发者填写的服务器配置URL将得到微信服务器推送过来的消息和事件，开发者可以依据自身业务逻辑进行响应。祝您生活愉快，谢谢提问