feat(auth): 微信 access_token 走中控服务器（腾讯云静态 IP 换 token） #11

2026-07-21T02:42:12Z

Blizzard commented

2026-07-21 02:42:12 +00:00

No description provided.

Blizzard added 4 commits 2026-07-21 02:42:13 +00:00

feat(auth): 微信 access_token 走中控服务器（腾讯云静态 IP 换 token） a1c68ec6b2

隐患：gateway 换 access_token 时微信看到的是本地宽带出网 IP（106.58.232.43，
动态会变），一变白名单就失效、二维码建不出来（40164）。

按微信官方推荐的「中控服务器」架构解决：腾讯云静态 IP 统一换 token，gateway 拉取
使用。微信 IP 白名单只限制换 token 这一步，拿 token 建二维码不查 IP —— 所以
换 token 挪到中控、建二维码仍在 gateway 本地，白名单只填腾讯云 IP，永不失效。

- wechat.PullToken：从中控 HTTPS 端点拉 token（Bearer 密钥鉴权），坏响应/403/空
  token 一律报错不当成功；中控没给 expires_in 时按 7200 兜底。
- handler.accessToken：配了 WECHAT_TOKEN_URL 就只从中控拉、绝不自己 FetchAccessToken
  （微信要求单点刷新，多点各自换会互相顶掉 token）；不配维持直连，零副作用可回退。
- compose：gateway 加 WECHAT_TOKEN_URL / WECHAT_TOKEN_SECRET（从宿主机 .env 注入）。
- deploy/wechat-token-zhongkong.md：腾讯云侧 cron 脚本 + nginx 配置 + 切换验证步骤。

本地验证（假中控 httptest + 真 gateway）：建票时 Redis 缓存的是中控给的 token
（FAKE_TOKEN_FROM_ZHONGKONG），gateway 未直连微信换 token；随后拿该 token 调
qrcode/create（假 token 报 40001 属预期）——证明「中控换 token → 本地建二维码」链路成立。
4 组 PullToken 单测覆盖正常/403/坏JSON/兜底。

真机验证（部署后）：把本地 IP 从白名单删掉、只留腾讯云 IP，扫码仍能登录即坐实
qrcode 不受 IP 限制；若建二维码报 40164 则退回 tinyproxy 正向代理备选。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs(deploy): 微信 token 中控改用 frp stcp 隧道（不上公网，无需域名） cbd0a96ce7

用户腾讯云未配域名、frp 是 toml。改成：腾讯云 token 服务只绑 127.0.0.1，
经 frp stcp（点对点加密隧道）让 132 拉取，token 全程不上公网、不用证书。

- 说明书给出 toml 版 frp 配置（腾讯云 [[proxies]] stcp + 132 [[visitors]]）、
  cron 换 token 脚本、切换验证步骤。
- compose：gateway 加 extra_hosts host.docker.internal:host-gateway —— 容器里的
  127.0.0.1 是容器自己，token 落在宿主机 127.0.0.1:9099，须经 host.docker.internal 访问。

代码侧（PullToken + accessToken 中控分支）无改动，沿用上一提交。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

feat(admin): 微信用户观测页 + 唯一昵称 + 密钥明文回显（单管理员后台） 0f2afdaac1

按需求四项：
1. 微信新用户昵称改「微信用户_XXXXX」：后缀从 openid 的 sha1 派生（去混淆字母表），
   openid 唯一 → 后缀实际不重复，且同 openid 每次一致（重登不换名）。用户可自行改名。
2. 后台加「平台 → 微信用户」列表：昵称 / openid（点击复制）/ 积分余额 / 加入时间。
   每人仍独立租户与积分（各买各的，确认过不共享积分池），此页只做统一观测。
3. 登录设置的 AppSecret 明文回显（不再只显示"已保存"）。
4. 支付配置的 APIv3 密钥明文回显。
   —— 用户明确后台单人使用、RequireAdmin 已拦，接受这一安全降级；密文仍加密入库。

修一个 gorm Scan 坑：WechatUserRow 的 WechatOpenID/BalanceMicro 没加 column tag，
gorm 把 WechatOpenID 断成列名 wechat_open_id，与 SQL alias wechat_openid 对不上 →
openid 静默返回空。教训：Scan 到自定义结构 + SQL 用 alias 时，字段一律显式加 column tag。

本地验证：真库造两个微信用户，列表接口正确返回 openid（修 tag 前是空）；
登录设置页 AppSecret 已是可见文本框；nickname 单测覆盖唯一/稳定/去混淆。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs(deploy): 微信 token 中控文档改回实际采用的 B 方案（宝塔 nginx + IP + 密钥） 9e2ff6007f

用户腾讯云未配域名、用宝塔。文档从 frp stcp 改成实际走的：宝塔计划任务换 token
+ nginx 站点(IP)+ 密钥头。附强密钥提醒与 frp 隧道备选（token 走公网明文的固有代价）。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

Blizzard merged commit 5d67821697 into main

2026-07-21 02:42:17 +00:00

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: sundynix/sundynix-agentix#11