● OAuth2.0

OAuth2.0其实就是第三方服务器（后端服务器）和微信服务器在和用户之间进行登录、鉴权、安全的一种调用协议和使用规范，就是如果用户想通过小程序进行微信登录，后端就必须按照OAuth2.0的协议规则进行接口调用与使用微信登录的API

OAuth2.0的流程（基于Authorization-Code模式）：

• 用户打开登录页面
• 点击登录按钮此时前端执行wx.login()获得一个临时凭证js_code（code是与用户信息和设备绑定的，换别的设备就无法使用而且他是一次性的）
• 在执行授权按钮或者自动提交授权请求，wx.getUserInfo()
• 此时根据用户确认授权或者直接提交code获取到encryptedData（用户信息密文）和iv（偏移向量）
• 紧接着将这三个数据（code、encryptedData、iv）交给后端服务器接口
• 后端根据code与appid、appsecret（后端服务器唯一标识）去微信服务器获取session_key和openid
• 再拿着session_key和iv去解密encryptedData
• 拿到用户解密数据

其实不如直接看微信官方文档[微信开发平台]

为什么不直接拿着用户的Session和appid、AppSecret拿用户信息，中间为什么还要走这么多复杂流程

• 如果前端直接在授权页面拿到微信用户信息，那黑客也可以拿到，如果前端在授权页面拿到用户信息的加密encryptedData和vi偏移量，而后端通过，那他可以发给原本的接口伪造登录
• 在早些版本的微信登录中，前端使用wx.logon()获取临时凭证code，然后wx.getUserInfo根据当前用户信息获取encryptedData和vi，这时候黑客就可以在前端截取你的encryptedData和vi然后配合code一起发给后端（重放攻击），后端这时候用appsecret+appid+code换取sessionKey然后解密，这样就可以伪造登录，接管你的账号

核心组件：

OAuth2.0的四种模式：

Implicit模式流程（简化模式）：

• 用户点击登录，前端跳转到授权页（带 AppId、response_type=token）；
• 用户授权后，微信直接把 AccessToken 拼在前端跳转地址的哈希值里（如 #access_token=xxx）；
• 前端解析哈希值拿到 token，直接调用资源接口。
• 关键风险：token 暴露在前端，抓包 / 调试就能拿到，完全不安全。

Password（密码模式）：

• 用户在「微信自家 APP」里输入微信账号密码；
• APP 后端拿着「用户账号 + 密码 + AppId」调用微信接口；
• 微信验证密码正确，直接返回 AccessToken；
• APP 用 token 访问用户信息。
• 关键风险：如果是第三方应用，用户把密码给它，相当于把微信账号交给对方，极端危险。

Client-Credentials模式（客户端模式）：

• 你的后端需要调用「微信开放平台的统计接口」（和具体用户无关）；
• 后端直接拿着 AppId + AppSecret 调用微信接口；
• 微信验证通过，返回 AccessToken（绑定应用，不绑定用户）；
• 后端用这个 token 调用统计接口。
• 特点：没有任何用户参与，token 仅代表「你的应用有调用该接口的权限」。

注：京东、淘宝、QQ、微信、支付宝、Github、微博这些的登录API都遵守OAuth2.0协议，也就是说调用他们的登录API和微信的一模一样、举一反N

● OKHttp

他是一个发送请求然后接收响应的微客户端，他可以发get\post等请求到指定服务器端口然后可以接收响应，他的底层就是用的NIO主从reactor只不过是客户端版本的，他是connect事件+read事件+writer事件而不是accpet

他的核心作用就是带着东西发请求然后接收响应，在这里的工作就是带着code和appid、appsecret发给微信服务器然后拿到session_key和openid就相当于一个跑腿员

在流程中的使用：

声明Http连接模板：
做全局唯一单例类，因为他和servlet.service()一样只提供一个模板用，而没有线程安全问题

package com.note.utils;

import okhttp3.OkHttpClient;

import java.util.concurrent.TimeUnit;

public class HttpClientUtil {

    public static final String HOST = "api.weixin.qq.com"; //请求的域名

    public static final String SNS = "sns"; //第一段路径

    public static final String JS_CODE2_SESSION = "jscode2session"; //第二段路径

    // 全局单例的 OkHttpClient
    private static final OkHttpClient OK_HTTP_CLIENT = new OkHttpClient.Builder()
            .connectTimeout(10, TimeUnit.SECONDS) // 连接超时
            .readTimeout(10, TimeUnit.SECONDS)    // 读取超时
            .writeTimeout(10, TimeUnit.SECONDS)   // 写入超时
            .build();

    public static OkHttpClient getInstance() {
        return OK_HTTP_CLIENT;
    }
}

具体使用：

//构建请求url+参数
        HttpUrl url = new HttpUrl.Builder()
                .scheme("https") //必须是s加密 微信不支持http
                .host(HttpClientUtil.HOST)
                .addPathSegment(HttpClientUtil.SNS) //第一段路径
                .addPathSegment(HttpClientUtil.JS_CODE2_SESSION) //第二段路径
                //添加get参数 k v 按照官方文档的接口参数来
                .addQueryParameter("js_code", jsCode)
                .addQueryParameter("grant_type", "authorization_code")
                .addQueryParameter("appid", wechatProperties.getAppId())
                .addQueryParameter("secret", wechatProperties.getAppSecret())
                .build();

        //构建发送微信服务器的请求体
        Request request = new Request.Builder()
                .url(url) //url 地址
                .get() //请求类型
                .build();

        //发送请求获取响应体
        try (Response response = HttpClientUtil.getInstance().newCall(request).execute()) {

            if (response.isSuccessful() && response.body() != null) {
                String body = response.body().string();
                //响应体转为json 拿取数据
                return JSONObject.parseObject(body, WxUserSession.class);
            }

        } catch (IOException e) {
            throw new RuntimeException("获取微信秘钥失败");
        }

● EncryptedData解密

// 静态代码块注册（推荐，项目启动时执行一次）
    static {
        // 注册 BouncyCastle 加密提供者
        Security.addProvider(new BouncyCastleProvider());
    }

    /**
     * 对encryptedData进行解密
     *
     * @param encryptedData 加密用户信息
     * @param iv            偏移向量
     * @param sessionKey    微信服务器sessionKey
     * @return 解密结果字符串 json格式
     */
    public static String encrypt(String encryptedData, String iv, String sessionKey) throws IllegalBlockSizeException, BadPaddingException, NoSuchAlgorithmException, NoSuchPaddingException, NoSuchProviderException, InvalidParameterSpecException, InvalidAlgorithmParameterException, InvalidKeyException {

        // 1. Base64解码：sessionKey、encryptedData、iv
        byte[] sessionKeyBytes = Base64.getDecoder().decode(sessionKey);
        byte[] encryptedDataBytes = Base64.getDecoder().decode(encryptedData);
        byte[] ivBytes = Base64.getDecoder().decode(iv);

        // 2. 初始化 AES 解密器（AES-128-CBC + PKCS7Padding）
        Cipher cipher = Cipher.getInstance("AES/CBC/PKCS7Padding", "BC");
        SecretKeySpec secretKeySpec = new SecretKeySpec(sessionKeyBytes, "AES");
        AlgorithmParameters params = AlgorithmParameters.getInstance("AES");
        params.init(new IvParameterSpec(ivBytes));
        cipher.init(Cipher.DECRYPT_MODE, secretKeySpec, params);

        // 3. 执行解密并转成字符串
        byte[] decryptBytes = cipher.doFinal(encryptedDataBytes);
        return new String(decryptBytes, StandardCharsets.UTF_8);
    }

● 笔记项目[OAuth2.0、OkHttp]