基于NodeJS开发钉钉回调接口实现AES-CBC加解密

2024-12-02 11:51:54

钉钉小程序后台接收钉钉开放平台的回调比较重要，比如通讯录变动的回调，审批流程的回调都是在业务上十分需要的。回调接口时打通钉钉平台和内部系统的重要渠道。

但是给回调的接口增加了一些障碍，它需要支持回调的服务器的接口支持AES-CBC加解密。不然无法成功注册或解析内容。

钉钉官方文档中给出了JAVA,PHP,C#的后台SDK和demo，但是却没有Node服务器的代码支持，这让占有率很高的node服务器非常尴尬，难道node就不能作为钉钉平台的回调服务器么

好在钉钉已经开放了其加密算法，可以通过加密流程自己写一套JavaScript版的加解密程序，然后将node服务器注册为钉钉的回调接口。

首先，看一下钉钉回调接口的注册流程

首先，是由开发者主动发起一个POST请求到钉钉开放平台，传过去回调的URL，然后钉钉在这个请求中返回一个ok，如下图

在这里，我申请了通讯录加人或修改人事件的回调。

在这个接口请求完毕之后，钉钉会迅速的向你请求参数中写的url发送一个POST请求，如下

{"encrypt":"ihVRgn3eZZrCYHfAW4Lbh9eoOcpy1VddxGS9IIYsteFgAxpPN9ZaKKp4EH/7ArtmVEACxmyGCdUFtGuXxfNfcbXXXXXXXXXXXXXXXXXXXkGy+Oq/hIN"}

此时，钉钉要求我们“success”加密，然后在服务器中响应。

AES是一种对称性加密，即加密者通过一个密钥进行加密，将密文发送给接收人，接收人通过相同的密钥进行解密。但是CBC这种模式下，还需要一个偏移，或者说IV向量进行加解密。所以在加解密的时候实际上需要两个参数，密钥和IV。换句话说，钉钉回调接口使用的加密方式为AES-256-CBC模式

按照文档要求，我们返回的JSON中需要包含4个字段

其中，nonce是可以随便写的字符串，长度也没有限制，是用来增加msg_signature的变化度的。

timeStamp是10位数的时间戳，JavaScript默认时间戳是13位的，我们需要除以1000或者截取后3位。

encrypt是一段base64编码后的字符串，被编码的是“sucess”被加密后的密文

msg_signature是一段hash值，是将其余3个字符串，加上我们注册接口时设定的自定义token，4个字符串排序好，通过SHA1算法HASH后的值，用来验证完整性的。具体如下

最难以解决的就是encrypt字段了，还好在JS界谷歌已经给我们准备好了CryptoJS库，不用几行代码就可以解决问题。

首先观察下这个encrypt字段的形成逻辑：

需要被加密的明文由四个部分组成，分别是

16个字节的随机字符串：ASCII编码中，一个字符就占1个字节（8位），所以这里我们随便填16个字母组成的字符串就行

4个字节的msg长度：这里的长度不是文本格式的长度，而是4*8=32位二进制表示的长度，文档中没有明确指出是填msg的字节长度，还是比特位数，通过我个人验证，此处应该填msg的字节数。由于"success"由7个ASCII字符组成，所以长度为7，以4个字节的二进制表示就是

00000000 00000000 00000000 00000111

在JS中，要想把二进制数转化成字节，可以先换成十进制，然后使用String.fromCharCode(0)方法，转换为字节。所以此处要想用字符串表示，就是把0，0，0，7当作ASCII码转换为不可见字符

var lengthString = String.fromCharCode(0)+String.fromCharCode(0)+String.fromCharCode(0)+String.fromCharCode(7)

明文msg：就是字符串"success"

$key：我是企业内部开发，Corpid可以在钉钉开发者后台看到

有了明文，下一步就是进行加密

首先我们知道AES-CBC算法需要一个密钥KEY和一个偏移量IV，而钉钉说IV是密钥的前16位，如下

钉钉让我们提供32字节长的密钥，换句话说就是256比特，然后把密钥Base64进行编码，通过上面的注册接口发给钉钉。

由于一个ASCII字符就是一个字节，所以我们这里生成一个32字符长度的字符串，就由密钥了，我选择的密钥是"@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@"，因为@字符的ASCII码值是64，容易记，同理，IV就是16个@组成的字符串。

注意32字节的长度的字符串base64编码后，长度肯定位44个字符，最后一位必然是=，去掉等号就是43个字符了

通过使用10进制的数字，转换为Byte字符串，也可以通过数组来解决，如上面这个，我就可以通过下面代码来生成密钥

var key_256 = [64, 64, 64, 64, 64, 64, 64, 64,
        64, 64, 64, 64, 64, 64, 64, 64,
        64, 64, 64, 64, 64, 64, 64, 64,
        64, 64, 64, 64, 64, 64, 64, 64];
var key_text = '';
for(let i=0;i<32;i++){
	key_text += String.fromCharCode(key_256[i]);
}
console.log(btoa(key_text))

通过JS的btoa()函数，可以直接把密钥变成Base64格式

同理，生成IV之后，就可以开始进行加密操作了，这里直接放出代码

CryptoJS库既可以在HTML中使用，也可以require到node中使用

在HTML中使用时，先到https://code.google.com/archive/p/crypto-js/downloads下载最新压缩包，然后解压到项目目录即可，如下

然后再HTML中进行引用

<script src = "crypto-js-4.0.0/crypto-js.js"></script>

这样我们就可以直接通过浏览器本地调试，生成我们想要的字符串，让node服务器直接原文返回就可以了

<html>
<head>
<script src = "crypto-js-4.0.0/crypto-js.js"></script>
<script>

// AES 秘钥
var AesKey = "@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@";
console.log(btoa(AesKey))

// AES-128-CBC偏移量
var CBCIV = "@@@@@@@@@@@@@@@@";

//16个字节的随机字符串
var randomString = '1234567890123456';
//明文msg
var msg = 'success';
//$key,对于企业内部开发来说，$key填写企业的Corpid。
var corpid = 'ding00000035b90000000005d6980864d335'

function len_msg(msg){//该函数返回的是字符串，无文本意义
	result = String.fromCharCode(0)+String.fromCharCode(0)+String.fromCharCode(0)+String.fromCharCode(7);
	return result;
}
//msg_len(4B),此处为ASCII编码的二进制字符串，无文本意义
var msg_len = len_msg(msg);
//要加密的明文是[random(16B) + msg_len(4B) + msg + $key]
var codeString = randomString + msg_len + msg + corpid;

console.log('要加密的明文字符串为：'+codeString);
console.log('要加密的字符串Base64为：'+btoa(codeString));

// 加密选项
var CBCOptions = {
	iv: CryptoJS.enc.Latin1.parse(CBCIV),
	mode:CryptoJS.mode.CBC,
	padding: CryptoJS.pad.Pkcs7
}

/**
 * AES加密（CBC模式，需要偏移量）
 * @param data
 * @returns {*}
 */
function encrypt(data){
  var key = CryptoJS.enc.Latin1.parse(AesKey);
  var secretData = CryptoJS.enc.Latin1.parse(data);
  var encrypted = CryptoJS.AES.encrypt(
		secretData,
		key,
		CBCOptions
	);
  return encrypted.toString();
}
/**
 * AES解密（CBC模式，需要偏移量）
 * @param data
 * @returns {*}
 */
function decrypt(data){
  var key = CryptoJS.enc.Latin1.parse(AesKey);
  var decrypt = CryptoJS.AES.decrypt(
		data,
		key,
		CBCOptions
	);
  return CryptoJS.enc.Latin1.stringify(decrypt).toString();
}

//encrypt = Base64_Encode(AES_Encrypt[random(16B) + msg_len(4B) + msg + $key])
var encodeData=encrypt(codeString);
console.log('加密后密文为：'+encodeData);
console.log('10位时间戳：'+parseInt(new Date()/1000));

var timeStamp = ""+parseInt(new Date()/1000);
 var nonce = "aaaaaa";
 var encrypt = "LwJ0000000000000000000000000000000000000YYQIBxRvsQ=="
 var token = '@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@';

 //dev_msg_signature=sha1(sort(token、timestamp、nonce、msg_encrypt))
 var sortList = [timeStamp,nonce,encrypt,token];
 sortList.sort();
 console.log(sortList);

 var msg_signature = '';
 for (i in sortList){
	msg_signature += i;
 }
 console.log(msg_signature);
 console.log(CryptoJS.SHA1(msg_signature).toString())

var secretTxt = 'Fuqa0wgIvMtUgFBnyZkCb1z3tpSYJ0000000000000000000000p64KnDZkGsjP3y5AIGnryUjkMi16Lz5C/ZzkMRbaipIgz60U5gELKSblZ3MnTf1CVbPMvyjoYbyenjbKCDmQpdgdA4Ejh8Cnlil1laZ8wQSUSD0ju8a9pFIx9Rh6HwNfh0FenpnX22HpfU000007ZjNM5PeK5DeCbmCrqnrq1zwjqomeXSw8mw9g0i83DQKYMXuU3KsO000cHPLdfbWIKUyTcw=='
var realMessage = decrypt(secretTxt);
console.log('实际内容是'+realMessage);
</script>
</head>
<body>
</body>
</html>

注意，加密选项中CryptoJS.enc.Latin1.parse(AesKey);是将字符串表示的密钥通过ASCII码转换为字节，在加密时也可以使用CryptoJS.enc.Utf8,因为utf8编码再ASCII字符中编码没有区别。

但是反过来，加密中用Latin1和Utf8都没有问题，但是在解密时，钉钉那边是使用ASCII编码的，如果使用CryptoJS.enc.Utf8就会发生错误。因为钉钉返回内容应该全是普通英文字符，没有中文或其他特殊字符

对于消息体签名，我们只需使用JS的arr.sort()，把四个字段组成的数组通过首字母进行排序，然后首尾相连变为一个字符串，再使用CryptoJS.SHA1(msg_signature).toString()的SHA1算法取HASH值即可，注意这里的HASH值是HEX格式表示的（文档没有写，但是通过实验得出的），不要用Base64了，代码上等价于

CryptoJS.SHA1(msg_signature).toString(CryptoJS.enc.Hex);

还有encrypted.toString()方法，默认返回的就是Base64编码格式，无需转换，这一点和上面SHA1方法的默认值不同，还有，CryptoJS.AES.decrypt（）方法，传入的待解码的密文，也可以直接把钉钉给的Base64格式密文传入的，无需提前解码Base64

注意，排序四元素之一的token，既不是AES的密钥，也不是IV，也不是钉钉平台的access_token,而是我们在前面https://oapi.dingtalk.com/call_back/register_call_back接口中上传的token字段，是个纯自定义的的字段

我们通过在浏览器中执行上面的代码，就可以把注册回调需要返回的JSON值都获取到，然后我们直接在node里写死这几个值用来返回就可以了，同时，我们还需要在nodejs中引入CryptoJS，用来对钉钉发来的回调信息进行解密

const express = require('express')
const bodyParser = require('body-parser');
const CryptoJS = require("crypto-js");

const app = express()
const port = 8080
const appkey = 'dingxxxx';
const appsecret = 'xxxxxx';
const agentId = 'xxxxxx';

var dingToken = '';

app.get('/', (req, res) => res.send('Hello World!'))

app.listen(port, function(){
	console.log(`Example app listening on port ${port}!`);
	getToken();
})

app.use(bodyParser.json())

app.post('/dingCallback', function (req, res) {
 console.log('钉钉回调接口收到请求了：'+JSON.stringify(req.body));//获取钉钉的回调参数

 var timeStamp = ""+parseInt(new Date()/1000);//动态项
 var nonce = "aaaaaa";//随便写
 var encrypt = "LwXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXxRvsQ=="
 var token = '666666';

 //dev_msg_signature=sha1(sort(token、timestamp、nonce、msg_encrypt))
 var sortList = [timeStamp,nonce,encrypt,token];
 sortList.sort();
 console.log(sortList);

 var msg_signature = '';
 for (let text of sortList){
	msg_signature += text;
 }
 console.log('msg_signature明文='+msg_signature)
 msg_signature = CryptoJS.SHA1(msg_signature).toString()

 var resp = {
	msg_signature:msg_signature,
	timeStamp:timeStamp,
	nonce:nonce,
	encrypt:encrypt
 }
 console.log(''+JSON.stringify(resp))

 console.log('解密内容是：'+decryptMsg(req.body.encrypt));//获取钉钉传过来的参数，并解密处json信息
 res.send(JSON.stringify(resp));

});

// AES 秘钥
var AesKey = "@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@";

// AES-128-CBC偏移量
var CBCIV = "@@@@@@@@@@@@@@@@";

// 加密选项
var CBCOptions = {
	iv: CryptoJS.enc.Latin1.parse(CBCIV),
	mode:CryptoJS.mode.CBC,
	padding: CryptoJS.pad.Pkcs7
}

/**
 * AES解密（CBC模式，需要偏移量）
 * @param data Base64格式
 * @returns {*}
 */
function decrypt(data){
  var key = CryptoJS.enc.Latin1.parse(AesKey);
  var decrypt = CryptoJS.AES.decrypt(
		data,
		key,
		CBCOptions
	);
  return CryptoJS.enc.Latin1.stringify(decrypt).toString();
}

function decryptMsg(base64_crypt_msg){
	var realMessage = decrypt(base64_crypt_msg);
	var endPosition = realMessage.lastIndexOf('dingXXXXXXXX');//掐头去尾，前面掐掉20字节，后面掐掉Corpid
	if(!realMessage || realMessage.length < 20 || endPosition==0){
		console.log('解密失败')
		return;
	}
	var jsonData = realMessage.slice(20,endPosition);
	return jsonData;
}

钉钉用于验证你服务器的POST请求，与给你发信息的回调参数，格式是一样的，POST收到的明文为：

{"encrypt":"ihVRgn3eZZrCYHfAW4Lbh9eoOcpy1VddxGS9IIYsteFgAxpPN9ZaKKp4EH/7ArtmV"}

解密之后，密文部分为一个JSON字符串，里面包含着我们想要的东西，如，用于验证url的参数解密后为，这个和我们设置的响应加密字符串一样，是16字节的随机字符串，4个字节的二进制长度，正文+Corpid。

AzW30dHltl1iocOd{"EventType":"check_url"}dingxxxxxxxxxxxxxxxxxxxxxxx

要判断钉钉回调我们的接口是否成功，或者说我们有没有返回正确的加密报文，只需调用钉钉的查看回调接口列表就行了，方法是使用POST请求调用https://oapi.dingtalk.com/call_back/get_call_back?access_token=，然后观察回调接口中是否包含你刚注册的url即可

另外推荐一个网站，可以将base64后的待加密字符串，使用AES-256-CBC算法进行加解密

https://the-x.cn/cryptography/Aes.aspx

参考：https://blog.csdn.net/myzksky/article/details/82052920

到此这篇关于基于NodeJS开发钉钉回调接口实现AES-CBC加解密的文章就介绍到这了,更多相关NodeJS AES-CBC加解密内容请搜索我们以前的文章或继续浏览下面的相关文章希望大家以后多多支持我们！

nodejs aes 加解密实例

如下所示: 'use strict'; const crypto = require('crypto'); /** * AES加密的配置 * 1.密钥 * 2.偏移向量 * 3.算法模式CBC * 4.补全值 */ var AES_conf = { key: getSecretKey(), //密钥 iv: '1012132405963708', //偏移向量 padding: 'PKCS7Padding' //补全值 } /** * 读取密钥key * 更具当前客户端的版本vid.平台plat
基于NodeJS开发钉钉回调接口实现AES-CBC加解密

钉钉小程序后台接收钉钉开放平台的回调比较重要,比如通讯录变动的回调,审批流程的回调都是在业务上十分需要的.回调接口时打通钉钉平台和内部系统的重要渠道. 但是给回调的接口增加了一些障碍,它需要支持回调的服务器的接口支持AES-CBC加解密.不然无法成功注册或解析内容. 钉钉官方文档中给出了JAVA,PHP,C#的后台SDK和demo,但是却没有Node服务器的代码支持,这让占有率很高的node服务器非常尴尬,难道node就不能作为钉钉平台的回调服务器么好在钉钉已经开放了其加密算法,可以通过加密流
使用Nodejs开发微信公众号后台服务实例

摘要: 微信,庞大的用户基数,极强的用户粘性,在近两年吸引了无数的开发者注意力. Nodejs,近两年发展非常快的开发工具,尤其适合构建移动后台.本文就以笔者自己开发的实例,来描述如何基于Nodejs开发属于自己的微信公众号.在这个实例中,主要使用到了express, wechat, mongodb, monk等模块. 前期准备: 1.申请微信公众号,前往 https://mp.weixin.qq.com/ 申请,这里不做过多阐述. 2. 购买服务器, 这里推荐Amazon的EC2,首次用户可
基于NodeJS+MongoDB+AngularJS+Bootstrap开发书店案例分析

这章的目的是为了把前面所学习的内容整合一下,这个示例完成一个简单图书管理模块,因为中间需要使用到Bootstrap这里先介绍Bootstrap. 示例名称:天狗书店功能:完成前后端分离的图书管理功能,总结前端学习过的内容. 技术:NodeJS.Express.Monk.MongoDB.AngularJS.BootStrap.跨域效果: 一.Bootstrap Bootstrap是一个UI框架,它支持响应式布局,在PC端与移动端都表现不错. Bootstrap是Twitter推出的一款简洁.直
nodejs 实现钉钉ISV接入的加密解密方法

这是我开发Worktile钉钉版本的时候遇到的当时感觉比较难的地方,现在写下来方法供大家学习交流解密方法 exports.decryptMsg = function (text) { var aes_msg_buffer = new Buffer(text, 'base64'); var key = new Buffer(aes_key + "=", 'base64'); var iv = key.slice(0, 16); var decipher = crypto.createD
基于NodeJS的前后端分离的思考与实践（一）全栈式开发

前言为了解决传统Web开发模式带来的各种问题,我们进行了许多尝试,但由于前/后端的物理鸿沟,尝试的方案都大同小异.痛定思痛,今天我们重新思考了"前后端"的定义,引入前端同学都熟悉的NodeJS,试图探索一条全新的前后端分离模式. 随着不同终端(Pad/Mobile/PC)的兴起,对开发人员的要求越来越高,纯浏览器端的响应式已经不能满足用户体验的高要求,我们往往需要针对不同的终端开发定制的版本.为了提升开发效率,前后端分离的需求越来越被重视,后端负责业务/数据接口,前端负责展现/交互逻
详解使用python3.7配置开发钉钉群自定义机器人(2020年新版攻略)

最近疫情比较严重,很多公司依靠阿里旗下的办公软件钉钉来进行远程办公,当然了,钉钉这个产品真的是让人一言难尽,要多难用有多难用,真的让人觉得阿里的pm都是脑残才会设计出这种脑残产品,不过吐槽归吐槽,该用还得用,虽然钉钉别的功能很鸡肋,但是机器人这个功能还是让人眼前一亮,属于比较极客的功能,它可以将第三方服务的信息聚合到钉钉群中,实现信息的自动化同步,例如:通过聚合Github.Gitlab等源码管理服务,实现源码更新同步:通过聚合Trello.JIRA等项目协调服务,实现项目信息同步:同事,支持W
教你如何使用Python开发一个钉钉群应答机器人

前提搭建钉钉应答机器人,需要先准备或拥有以下权限: 钉钉企业的管理员或子管理员(如果不是企业管理员,可以自己创建一个企业,很方便的) 有公网通信地址(内网穿透也可以): 钉钉群机器人开发文档:https://developers.dingtalk.com/document/app/overview-of-group-robots 创建「机器人」应用登录「钉钉开发者后台」,选择「应用开发」--「企业内部开发」-- 「机器人」输入好机器人的基本信息之后,就会生成创建一个「钉钉机器人」我们的后
基于NodeJS的前后端分离的思考与实践（三）轻量级的接口配置建模框架

前言使用Node做前后端分离的开发模式带来了一些性能及开发流程上的优势, 但同时也面临不少挑战.在淘宝复杂的业务及技术架构下,后端必须依赖Java搭建基础架构,同时提供相关业务接口供前端使用.Node在整个环境中最重要的工作之一就是代理这些业务接口,以方便前端(Node端和浏览器端)整合数据做页面渲染.如何做好代理工作,使得前后端开发分离之后,仍然可以在流程上无缝衔接,是我们需要考虑的问题.本文将就该问题做相关探讨,并提出解决方案. 由于后端提供的接口方式可能多种多样,同时开发人员在编写Nod
nodejs通过钉钉群机器人推送消息的实现代码

Intro 最近在用 nodejs 写爬虫,之前的 nodejs 爬虫代码用 js 写的,感觉可维护性太差,也没有智能提示,于是把js改用ts(typescript)重写一下,提升代码质量. 爬虫启动之后不定期会出现验证码反爬虫,需要输入验证码才能继续,于是想在需要输入验证码时推送一个消息给用户,让用户输入验证码以继续爬虫的整个流程.我们平时用钉钉办公,钉钉群有个机器人,很方便于是就实现了一个通过钉钉的群机器人实现消息推送. 实现代码是 ts 实现的,用了 request 发起http请求,具
Android基于AccessibilityService制作的钉钉自动签到程序代码

前两天公司开始宣布要使用阿里钉钉来签到啦!!!~~这就意味着,我必须老老实实每天按时签到上班下班了,这真是一个悲伤的消息,可是!!!!那么机智(lan)的我,怎么可能就这么屈服!!!阿里钉钉签到,说到底不就是手机软件签到吗?我就是干移动开发的,做一个小应用每天自动签到不就行了:) 说干就干,首先分析一下,阿里钉钉的签到流程: 打开阿里钉钉->广告页停留2S左右->进入主页->点击"工作"tab->点击"签到"模块->进入签到页面(可能会

基于NodeJS开发钉钉回调接口实现AES-CBC加解密

相关推荐

随机推荐