基于IdentityServer的系统对接微信公众号

业务需求

公司有两个业务系统&＃xff0c;A和B&＃xff0c;AB用户之间属于多对一的关系&＃xff0c;数据库里面也就是两张表&＃xff0c;A表有个外键指向B。现在需要实现以下几个功能。

1. A用户扫描B的二维码&＃xff0c;填写相关的注册信息&＃xff0c;注册完成之后自动属于B。也就是表A的外加字段指向B。

2. 老用户和微信openid绑定。

3. 用户在公众号里面自动登录。

项目结构

公司项目基于.net core 2.1 &＃43; Vue&＃xff0c;

后端有以下几个子系统&＃xff1a;

1. 基于IdentityServer4 的asp.net mvc&＃xff0c;简称account 项目&＃xff0c;配了域名account.xxx.com

2. 两个业务系统api。A和B。分别域名配置aapi.xxx.com 和bapi.xxx.com

3. 其他。。

前端有以下几个系统&＃xff0c;都是基于Vue的SPA:

1. A业务系统&＃xff0c;域名a.xxx.com

2. B业务系统&＃xff0c;域名b.xxx.com

3. 其他。

登录这块的逻辑实现方式是类似的。都是基于IdentityModel/oidc-client-js

简单介绍一下IdentityServer这个东西。

用户登录A或B系统&＃xff0c;就是调用A和B对应的webapi&＃xff0c;webapi配置了自己的验证服务器是account服务器&＃xff0c;account验证未通过&＃xff0c;前端就得到401状态码&＃xff0c;通过oidc-client-js的内部方法引导用户进行登录。跳转account的页面&＃xff0c;用户输入用户名密码&＃xff0c;登录成功&＃xff0c;account服务器判断是A or B过来的登录请求&＃xff0c;带上token回跳到配置的对应页面。业务系统再次用获取到的token请求api&＃xff0c;调用成功。用一个图来说。

实现方法

用了盛派微信sdk,特别感谢大佬的贡献。

推荐一下微信沙箱环境&＃xff0c;项目做完下来除了"无法在测试的公众号里面推送小程序消息”无法实现之外&＃xff08;因为推送的需要公众号和小程序有一个绑定关系&＃xff09;&＃xff0c;其他都ok。

因为版本的关系&＃xff0c;account系统升级了asp.net core 2.2。

先实现上面第一个需求

这里用到微信里面生成带参数的二维码功能。B系统创建了用户之后&＃xff0c;生成一个对应的guid&＃xff0c;然后把这个guid作为参数&＃xff0c;调用sdk就能得到二维码的url。


var qrRstTicketRst &＃61; await QrCodeApi.CreateAsync(weixinSetting.WeixinAppId, 30, 100000,
QrCode_ActionName.QR_LIMIT_STR_SCENE, sceneId);

var url &＃61; QrCodeApi.GetShowQrCodeUrl(qrRstTicketRst.ticket);

这里我们项目中用到的是永久二维码&＃xff0c;虽然这个二维码上限10W个&＃xff0c;我们业务系统B用户不会超过那么多。

B用户展示二维码给A用户&＃xff0c;A用户扫描&＃xff0c;根据文档&＃xff1a;

如果用户还未关注公众号&＃xff0c;则用户可以关注公众号&＃xff0c;关注后微信会将带场景值关注事件推送给开发者。

如果用户已经关注公众号&＃xff0c;在用户扫描后会自动进入会话&＃xff0c;微信也会将带场景值扫描事件推送给开发者。

触发代码里面分别对应的是OnEvent_SubscribeRequest 和OnEvent_ScanRequest&＃xff0c;两个方法里面的代码基本上是一样的。RequestMessageEvent_Scan.EventKey可以得到上面的guid值。Subscribe事件里面得到的EventKey会比Scan的多一个qrscene前缀&＃xff0c;处理的时候要注意一点。两个方法参数都能通过FromUserName获取到扫描的用户的openId&＃xff0c;然后在这个方法里面返回一个带参数&＃xff08;A的openId&＃xff0c;和B的guid&＃xff09;的注册链接&＃xff0c;A用户注册的时候就提交了这两个参数&＃xff0c;后台就能拿到。

顺道说一句&＃xff0c;公众号里面用户每次操作只能被动返回一条消息。如要主动推送&＃xff0c;需要用模板消息的方式。

实现第二个需求

对于老用户&＃xff0c;这里需要一个账号绑定的功能。也就是业务系统的账号和openId做一个关联。绑定的关键在于这个如何获取这个openId&＃xff0c;这里有两种方式。

1. 用户点击公众号的菜单&＃xff0c;后端获取到这个事件&＃xff0c;在OnEvent_ClickRequest中&＃xff0c;判断RequestMessageEvent_Click.EventKey&＃61;&＃61;xxx&＃xff0c;返回一个带openId的绑定页面的链接给用户。比如/bind?openId&＃61;xxx&＃xff0c;用户点击这个链接&＃xff0c;系统引导用户登录&＃xff0c;然后点击绑定按钮&＃xff0c;实现绑定。

2. 基于微信网页授权&＃xff0c;这个在自动登录里面也用到了&＃xff0c;所以下面解释。

实现第三个需求

系统中用户和微信的openId已经绑定&＃xff0c;所以&＃xff0c;只要知道每次访问页面的openId就应该能实现自动登录。openId是通过微信网页授权的方式获取到。流程可以看文档。简单来说&＃xff0c;先拿code&＃xff0c;再换token&＃xff0c;同时拿到openId。实现步骤分以下几步。

• 添加一个公众号菜单&＃xff0c;type是view&＃xff0c;也就是点了之后会打开一个页面&＃xff0c;页面地址直接用获取code的url.

{
"type": "view",
"name": "登录A",
"url":"https://open.weixin.qq.com/connect/oauth2/authorize?appid&＃61;wxb66259f2a353&redirect_uri&＃61;http%3A%2F%2Faccount.xxx.cn%2Fweixincallback%2Fcallback&response_type&＃61;code&scope&＃61;snsapi_base&state&＃61;spa.A#wechat_redirect"
}

url中的state参数会和code一起返回给设置的redirectUrl&＃xff0c;这个可以用来给我们在account登录中心判断是需要登录A还是B&＃xff0c;以便最后回跳到对应的业务页面。

这里在沙箱配置跳转域名的时候注意一下&＃xff0c;只要写域名就好。

• 打开页面&＃xff0c;需要用户点允许授权。通过之后浏览器会把code 和 state参数带这get请求redirect_url

• callback页面的逻辑

callback 接收code和state两个参数。

public async Task Callback(string code, string state){...}

用这个code调用sdk里面的api获取token&＃xff0c;同时可以拿到openid。

var tokenResult &＃61; await OAuthApi.GetAccessTokenAsync(AppId, AppSecret, code);
if (tokenResult.errcode !&＃61; ReturnCode.请求成功)
{
throw new BizException("获取微信用户信息失败");
}
var openId &＃61; tokenResult.openid;

通过open获取用户信息。

var userInfo &＃61; await userService.GetByOpenId(openId);

然后调用HttpContext.SignInAsync登录。

public static async Task SignInAsync(this HttpContext context, string subject, string name, AuthenticationProperties properties, params Claim[] claims)
{
var clock &＃61; context.GetClock();
var user &＃61; new IdentityServerUser(subject)
{
DisplayName &＃61; name,
AdditionalClaims &＃61; claims,
AuthenticationTime &＃61; clock.UtcNow.UtcDateTime
};
await context.SignInAsync(user, properties);
}

HttpContext是当前请求的上下文。

subject可以理解为用户的标识。

name可以理解是用户显示的名字。

AuthenticationProperties是此次认证的一些配置&＃xff0c;比如有效时长之类的。

Claim可以理解为这个subject带的一些属性。

await HttpContext.SignInAsync(userMobile, userName, props, claims);

调用完之后就登录成功。

然后通过带来的state参数判断需要跳转的client。

var client &＃61; await clientStore.FindClientByIdAsync(state);
return Redirect($"{client.PostLogoutRedirectUris.FirstOrDefault()}?logined&＃61;true");

这里带一个logined&＃61;true参数&＃xff0c;用来给client做一些逻辑。

总结

首先要感谢的肯定是盛派微信sdk的contributors&＃xff0c;没有他们系统对接起来应该会慢很多。

然后我想说&＃xff0c;IdentityServer是个好东西&＃xff0c;现在公司.NET相关的系统都已经用这个实现统一的登录逻辑了&＃xff0c;系统维护的代价小了许多。

说起来其实也是第一次对接微信公众号相关的东西&＃xff0c;在走通这条路之前走了不少弯路&＃xff0c;不过好在走通了。希望对其他人有帮助。