Blizzard
a1c68ec6b2
隐患：gateway 换 access_token 时微信看到的是本地宽带出网 IP（106.58.232.43， 动态会变），一变白名单就失效、二维码建不出来（40164）。 按微信官方推荐的「中控服务器」架构解决：腾讯云静态 IP 统一换 token，gateway 拉取 使用。微信 IP 白名单只限制换 token 这一步，拿 token 建二维码不查 IP —— 所以 换 token 挪到中控、建二维码仍在 gateway 本地，白名单只填腾讯云 IP，永不失效。 - wechat.PullToken：从中控 HTTPS 端点拉 token（Bearer 密钥鉴权），坏响应/403/空 token 一律报错不当成功；中控没给 expires_in 时按 7200 兜底。 - handler.accessToken：配了 WECHAT_TOKEN_URL 就只从中控拉、绝不自己 FetchAccessToken （微信要求单点刷新，多点各自换会互相顶掉 token）；不配维持直连，零副作用可回退。 - compose：gateway 加 WECHAT_TOKEN_URL / WECHAT_TOKEN_SECRET（从宿主机 .env 注入）。 - deploy/wechat-token-zhongkong.md：腾讯云侧 cron 脚本 + nginx 配置 + 切换验证步骤。 本地验证（假中控 httptest + 真 gateway）：建票时 Redis 缓存的是中控给的 token （FAKE_TOKEN_FROM_ZHONGKONG），gateway 未直连微信换 token；随后拿该 token 调 qrcode/create（假 token 报 40001 属预期）——证明「中控换 token → 本地建二维码」链路成立。 4 组 PullToken 单测覆盖正常/403/坏JSON/兜底。 真机验证（部署后）：把本地 IP 从白名单删掉、只留腾讯云 IP，扫码仍能登录即坐实 qrcode 不受 IP 限制；若建二维码报 40164 则退回 tinyproxy 正向代理备选。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
69 lines
2.1 KiB
Go
69 lines
2.1 KiB
Go
package wechat
|
|
|
|
import (
|
|
"context"
|
|
"net/http"
|
|
"net/http/httptest"
|
|
"testing"
|
|
)
|
|
|
|
// PullToken 正常路径：带对密钥、解析 token + 有效期。
|
|
func TestPullToken_OK(t *testing.T) {
|
|
var gotAuth string
|
|
srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
|
|
gotAuth = r.Header.Get("Authorization")
|
|
w.Header().Set("Content-Type", "application/json")
|
|
_, _ = w.Write([]byte(`{"access_token":"TOKEN_ABC","expires_in":7200}`))
|
|
}))
|
|
defer srv.Close()
|
|
|
|
tok, ttl, err := PullToken(context.Background(), srv.URL, "s3cr3t")
|
|
if err != nil {
|
|
t.Fatal(err)
|
|
}
|
|
if tok != "TOKEN_ABC" || ttl != 7200 {
|
|
t.Fatalf("解析错：tok=%q ttl=%d", tok, ttl)
|
|
}
|
|
if gotAuth != "Bearer s3cr3t" {
|
|
t.Fatalf("密钥头没带对：%q", gotAuth)
|
|
}
|
|
}
|
|
|
|
// 中控拒绝（密钥不对 → 403）必须报错，不能把 403 页面当 token。
|
|
func TestPullToken_Rejected(t *testing.T) {
|
|
srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
|
|
w.WriteHeader(http.StatusForbidden)
|
|
_, _ = w.Write([]byte("forbidden"))
|
|
}))
|
|
defer srv.Close()
|
|
|
|
if _, _, err := PullToken(context.Background(), srv.URL, "wrong"); err == nil {
|
|
t.Fatal("403 应报错")
|
|
}
|
|
}
|
|
|
|
// 坏 JSON / 空 token 必须报错，不能返回空串当成功。
|
|
func TestPullToken_BadBody(t *testing.T) {
|
|
for _, body := range []string{`not json`, `{"access_token":""}`, `{}`} {
|
|
srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
|
|
_, _ = w.Write([]byte(body))
|
|
}))
|
|
if _, _, err := PullToken(context.Background(), srv.URL, ""); err == nil {
|
|
t.Fatalf("坏响应 %q 应报错", body)
|
|
}
|
|
srv.Close()
|
|
}
|
|
}
|
|
|
|
// 中控没给 expires_in 时按微信默认 7200 兜底（避免缓存 0 秒后每次都拉）。
|
|
func TestPullToken_DefaultExpiry(t *testing.T) {
|
|
srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
|
|
_, _ = w.Write([]byte(`{"access_token":"X"}`))
|
|
}))
|
|
defer srv.Close()
|
|
_, ttl, err := PullToken(context.Background(), srv.URL, "")
|
|
if err != nil || ttl != 7200 {
|
|
t.Fatalf("应兜底 7200，得 ttl=%d err=%v", ttl, err)
|
|
}
|
|
}
|