防止活动上线时 微信openid 被伪造的问题

背景

前不久上线了一个 campaign 项目，一个 h5，用户可以在微信中通过网页授权的方式登录，然后用微信 openid 作为唯一标识符进行签到和抽奖的操作。

结果后期出现了很多脏数据来冒领抽奖的操作，这些脏数据的出现是因为 openid 被伪造从而顺利入库。

解决问题的思路就是不让 openid 伪造，即采用 openid 加密的方法。

改造后的业务流程图

这里需要改造两块代码：

1、微信授权接口
2、campagin api接口

采用对称加密

如上图所示：

1、加密的对策是：微信授权的时候，后端把回调给前端的 openid 进行加密；调用 api 的时候，前端再把授权得到的加密后的 openid 传给后端，后端先做解密操作，然后再进行剩下的业务逻辑，如果解密操作失败，则认定openid非法，拒绝此次请求
2、因为 campaign 服务器同时负责加密和解密，可采用对称加密算法，这里我们选用更先进的 AES 加密算法

加密工具函数的代码如下：

function encrypt($string, $operation, $key = '')
{
    $key = md5($key);
    $key_length = strlen($key);
    $string = $operation == 'D' ? base64_decode($string) : substr(md5($string . $key), 0, 8) . $string;
    $string_length = strlen($string);
    $rndkey = $box = array();
    $result = '';
    for ($i = 0; $i <= 255; $i++) {
        $rndkey[$i] = ord($key[$i % $key_length]);
        $box[$i] = $i;
    }
    for ($j = $i = 0; $i < 256; $i++) {
        $j = ($j + $box[$i] + $rndkey[$i]) % 256;
        $tmp = $box[$i];
        $box[$i] = $box[$j];
        $box[$j] = $tmp;
    }
    for ($a = $j = $i = 0; $i < $string_length; $i++) {
        $a = ($a + 1) % 256;
        $j = ($j + $box[$a]) % 256;
        $tmp = $box[$a];
        $box[$a] = $box[$j];
        $box[$j] = $tmp;
        $result .= chr(ord($string[$i]) ^ ($box[($box[$a] + $box[$j]) % 256]));
    }
    if ($operation == 'D') {
        if (substr($result, 0, 8) == substr(md5(substr($result, 8) . $key), 0, 8)) {
            return substr($result, 8);
        } else {
            return '';
        }
    } else {
        return str_replace('=', '', base64_encode($result));
    }
}

function encrypt_string($str)
{
    $key = 'test';
    return encrypt($str, 'E', $key); //加密
}

function decode_string($str)
{
    $key = 'test';
    return encrypt($str, 'D', $key); //解密
}

调用：

$openid_param = encrypt_string($openid_param);

$openid_param = decode_string($openid_param);
//如果$openid_param === false，则openid非法！