泄露出来的微信JSSDK说明文档(9日下午6点半官方公开)
更新日期:
文章目录
概述
微信JS-SDK是微信公众平台面向网页开发者提供的基于微信内的网页开发工具包。
通过使用微信JS-SDK,网页开发者可借助微信高效地使用拍照、选图、语音、位置等手机系统的能力,同时可以直接使用微信分享、扫一扫、卡券、支付等微信特有的能力,为微信用户提供更优质的网页体验。
此文档面向网页开发者介绍微信JS-SDK如何使用及相关注意事项。
使用说明
在使用微信JS-SDK对应的JS接口前,需确保公众号已获得使用对应JS接口的权限,可登录微信公众平台进入“开发者中心”查看对应的接口权限。
注意: 所有的JS接口只能在公众号绑定的域名下调用,公众号开发者需要先登录微信公众平台进入“公众号设置”》“功能设置”里填写“JS接口安全域名”。
步骤一:引入JS文件
在需要调用JS接口的页面引入如下JS文件,(支持https):http://res.wx.qq.com/open/js/jweixin-1.0.0.js
备注:支持使用 AMD/CMD 标准模块加载方法加载
步骤二:注入配置config接口
所有需要使用JSSDK的页面必须先注入配置信息,否则将无法调用(同一个url仅需调用一次,对于变化url的SPA的web app可在每次url变化时进行调用)。
|
|
步骤三:验证通过ready接口
|
|
步骤四:验证失败error接口
|
|
接口调用说明
所有接口通过wx对象(也可使用jWeixin对象)来调用,参数是一个对象,除了每个接口本身需要传的参数之外,还有以下通用参数:
- success:接口调用成功时执行的回调函数。
- fail:接口调用失败时执行的回调函数。
- complete:接口调用完成时执行的回调函数,无论成功或失败都会执行。
- cancel:用户点击取消时的回调函数,仅部分有用户取消操作的api才会用到。
- trigger: 监听Menu中的按钮点击时触发的方法,该方法仅支持Menu中的相关接口。
以上几个函数都带有一个参数,类型为对象,其中除了每个接口本身返回的数据之外,还有一个通用属性errMsg,其值格式如下:
- 调用成功时:”xxx:ok” ,其中xxx为调用的接口名
- 用户取消时:”xxx:cancel”,其中xxx为调用的接口名
- 调用失败时:其值为具体错误信息
基础接口
判断当前客户端版本是否支持指定JS接口
|
|
分享接口
获取“分享到朋友圈”按钮点击状态及自定义分享内容接口
|
|
获取“分享给朋友”按钮点击状态及自定义分享内容接口
|
|
获取“分享到QQ”按钮点击状态及自定义分享内容接口
|
|
获取“分享到腾讯微博”按钮点击状态及自定义分享内容接口
|
|
图像接口
拍照或从手机相册中选图接口
|
|
预览图片接口
|
|
上传图片接口
|
|
备注:可用微信下载多媒体文件接口下载上传的图片,此处获得的 serverId 即 media_id,参考文档 上传下载多媒体文件
下载图片接口
|
|
音频接口
开始录音接口
|
|
停止录音接口
|
|
监听录音自动停止接口
|
|
播放语音接口
|
|
暂停播放接口
|
|
停止播放接口
|
|
监听语音播放完毕接口
|
|
上传语音接口
|
|
备注:可用微信下载多媒体文件接口下载上传的语音,此处获得的 serverId 即 media_id,参考文档 ../12/58bfcfabbd501c7cd77c19bd9cfa8354.html
下载语音接口
|
|
智能接口
识别音频并返回识别结果接口
|
|
设备信息
获取网络状态接口
|
|
地理位置
使用微信内置地图查看位置接口
|
|
获取地理位置接口
|
|
界面操作
隐藏右上角菜单接口
|
|
显示右上角菜单接口
|
|
关闭当前网页窗口接口
|
|
批量隐藏功能按钮接口
|
|
批量显示功能按钮接口
|
|
隐藏所有非基础按钮接口
|
|
显示所有功能按钮接口
|
|
微信扫一扫
调起微信扫一扫接口
|
|
收获地址
编辑收货地址接口
|
|
获取最近的收货地址接口
|
|
微信小店
跳转微信商品页接口
|
|
微信卡券
调起适用于门店的卡券列表并获取用户选择列表
|
|
批量添加卡券接口
|
|
查看微信卡包中的卡券接口
|
|
微信支付
发起一个微信支付请求
|
|
附录1-JSSDK使用权限签名算法
jsapi_ticket
生成签名之前必须先了解一下jsapi_ticket,jsapi_ticket是公众号用于调用微信JS接口的临时票据。正常情况下,jsapi_ticket的有效期为7200秒,通过access_token来获取。由于获取jsapi_ticket的api调用次数非常有限,频繁刷新jsapi_ticket会导致api调用受限,影响自身业务,开发者必须在自己的服务全局缓存jsapi_ticket 。
参考以下文档获取access_token(有效期7200秒,开发者必须在自己的服务全局缓存access_token):获取access token
用第一步拿到的access_token 采用http GET方式请求获得jsapi_ticket(有效期7200秒,开发者必须在自己的服务全局缓存jsapi_ticket):https://api.weixin.qq.com/cgi-bin/ticket/getticket?access_token=ACCESS_TOKEN&type=jsapi
成功返回如下JSON:
|
|
获得jsapi_ticket之后,就可以生成JSSDK权限验证的签名了。
签名算法
签名生成规则如下:参与签名的字段包括noncestr(随机字符串), 有效的jsapi_ticket, timestamp(时间戳), url(当前网页的URL,不包含#及其后面部分) 。对所有待签名参数按照字段名的ASCII 码从小到大排序(字典序)后,使用URL键值对的格式(即key1=value1&key2=value2…)拼接成字符串string1。这里需要注意的是所有参数名均为小写字符。对string1作sha1加密,字段名和字段值都采用原始值,不进行URL 转义。
即signature=sha1(string1)。 示例:
noncestr=Wm3WZYTPz0wzccnW
jsapi_ticket=sM4AOVdWfPE4DxkXGEs8VMCPGGVi4C3VM0P37wVUCFvkVAy_90u5h9nbSlYy3-Sl-HhTdfl2fzFy1AOcHKP7qg
timestamp=1414587457
url=http://mp.weixin.qq.com
步骤1. 对所有待签名参数按照字段名的ASCII 码从小到大排序(字典序)后,使用URL键值对的格式(即key1=value1&key2=value2…)拼接成字符串string1:
jsapi_ticket=sM4AOVdWfPE4DxkXGEs8VMCPGGVi4C3VM0P37wVUCFvkVAy_90u5h9nbSlYy3-Sl-HhTdfl2fzFy1AOcHKP7qg&noncestr=Wm3WZYTPz0wzccnW×tamp=1414587457&url=http://mp.weixin.qq.com
步骤2. 对string1进行sha1签名,得到signature:
f4d90daf4b3bca3078ab155816175ba34c443a7b
注意事项
签名用的noncestr和timestamp必须与wx.config中的nonceStr和timestamp相同。
签名用的url必须是调用JS接口页面的完整URL。
出于安全考虑,开发者必须在服务器端实现签名的逻辑。
附录2-所有JS接口列表
- onMenuShareTimeline
- onMenuShareAppMessage
- onMenuShareQQ
- onMenuShareWeibo
- startRecord
- stopRecord
- onVoiceRecordEnd
- playVoice
- pauseVoice
- stopVoice
- onVoicePlayEnd
- uploadVoice
- downloadVoice
- chooseImage
- previewImage
- uploadImage
- downloadImage
- translateVoice
- getNetworkType
- openLocation
- getLocation
- hideOptionMenu
- showOptionMenu
- hideMenuItems
- showMenuItems
- hideAllNonBaseMenuItem
- showAllNonBaseMenuItem
- closeWindow
- scanQRCode
- chooseWXPay
- getLatestAddress
- editAddress
- openProductSpecificView
- addCard
- chooseCard
- openCard
附录3-所有按钮列表
基本类
- 举报: “menuItem:exposeArticle”
- 调整字体: “menuItem:setFont”
- 日间模式: “menuItem:dayMode”
- 夜间模式: “menuItem:nightMode”
- 刷新: “menuItem:refresh”
- 查看公众号(已添加): “menuItem:profile”
- 查看公众号(未添加): “menuItem:addContact”
传播类
- 发送给朋友: “menuItem:share:appMessage”
- 分享到朋友圈: “menuItem:share:timeline”
- 分享到QQ: “menuItem:share:qq”
- 分享到Weibo: “menuItem:share:weiboApp”
- 收藏: “menuItem:favorite”
- 分享到FB: “menuItem:share:facebook”
保护类
- 调试: “menuItem:jsDebug”
- 编辑标签: “menuItem:editTag”
- 删除: “menuItem:delete”
- 复制链接: “menuItem:copyUrl”
- 原网页: “menuItem:originPage”
- 阅读模式: “menuItem:readMode”
- 在QQ浏览器中打开: “menuItem:openWithQQBrowser”
- 在Safari中打开: “menuItem:openWithSafari”
- 邮件: “menuItem:share:email”
- 一些特殊公众号: “menuItem:share:brand”
附录4-位置与地址签名生成算法
addrSign的生成规则与JSSDK权限验证的签名生成规则相同(参考附录1),只是参与签名参数有所不同。参与addrSign的签名参数有:appId、url(当前网页url)、timestamp、noncestr、accesstoken(用户授权凭证,请参照oauth2.0 协议获取)。
附录5-支付扩展字段及签名生成算法
订单详情(package)扩展字符串定义
在商户调起JS API 时,商户需要此时确定该笔订单详情,并将该订单详情通过一定的方式进行组合放入package。JS API 调用后,微信将通过package 的内容生成预支付单。下 面将定义package 的所需字段列表以及签名方法。 接口需要注意:所有传入参数都是字符串类型!
package 所需字段列表:
transport_fee + product_fee=total_fee;
transport_fee + product_fee=total_fee;
package 生成方法: 由于package中携带了生成订单的详细信息,因此在微信将对package里面的内容进行鉴 权,确定package携带的信息是真实、有效、合理的。因此,这里将定义生成package字符 串的方法。
对所有传入参数按照字段名的ASCII码从小到大排序(字典序)后,使用URL键值对的格式(即key1=value1&key2=value2…)拼接成字符串string1,注意:值为空的参数不参与签名;
在string1最后拼接上key=paternerKey得到stringSignTemp字符串,并对stringSignTemp进行md5运算,再将得到的字符串所有字符转换为大写,得到sign值signValue。
对传入参数中所有键值对的value进行urlencode转码后重新拼接成字符串string2。对于JS前端程序,一定要使用函数encodeURIComponent进行urlencode编码(注意!进行urlencode时要将空格转化为%20而不是+)。
将sign=signValue拼接到string2后面得到最终的package字符串。
下面定义了一段生成package字符串的示范过程: 假设以下为package传入参数:
- bank_type=WX
- body=支付测试
- fee_type=1
- input_charset=UTF-8
- notify_url=http://weixin.qq.com
- out_trade_no=7240b65810859cbf2a8d9f76a638c0a3
- partner=1900000109
- spbill_create_ip=196.168.1.1
- total_fee=1
i: 经过a过程URL键值对字典序排序后的字符串string1为:
|
|
ii:经过b过程后得到sign为:
|
|
iii:再对传入参数中的每一个键值对中的value进行urlencode编码后得到:
|
|
iv:拼接上sign后得到最终package结果:
|
|
支付签名(paySign)生成方法
paySign字段是对本次发起JSAPI的行为进行鉴权,只有通过了paySign鉴权,才能继 续对package鉴权并生成预支付单。paySign的生成规则与JS-SDK权限验证的签名生成规则相同(参考附录1)。
参与paySign签名的字段包括:appid、timestamp、noncestr、package以及appkey(即 paySignkey)。
附录6-卡券扩展字段及签名生成算法
卡券扩展字段cardExt说明
cardExt本身是一个JSON字符串,是商户为该张卡券分配的唯一性信息,包含以下字段:
由商户生成后传入。
签名说明
将appsecret(第三方用户唯一凭证密)、timestamp、card_id、code、openid、balance的value值进行字符串的字典序排序。
将所有参数字符串拼接成一个字符串进行sha1加密,得到signature。
signature中的timestamp和card_ext中的timestamp必须保持一致。
假如数据示例中code=23456,timestamp=141231233,card_id=345667,appsecret=45678则signature=sha1(14123123323456345667456789)=4F76593A4245644FAE4E1BC940F6422A0C3EC03E。
卡券签名cardSign说明
- 将appsecret、app_id、location_id、times_tamp、nonce_str、card_id、card_type的value值进行字符串的字典序排序。
- 将所有参数字符串拼接成一个字符串进行sha1加密,得到cardSign。
附录7-常见错误解决方法
调用config 接口的时候传入参数 debug: true 可以开启debug模式,页面会alert出错误信息。以下为常见错误及解决方法:
- invalid url domain当前页面所在域名与使用的appid没有绑定(一个appid可以绑定三个有效域名)。
- invalid signature签名错误。建议按如下顺序检查:
- 确认签名算法正确,可用 http://mp.weixin.qq.com/debug/cgi-bin/sandbox?t=jsapisign 页面工具进行校验。
- 确认config中noncestr, timestamp与用以签名中的对应noncestr, timestamp一致。
- 确认url是页面完整的url,包括GET参数部分。
- 确认 config 中的 appid 与用来获取 jsapi_ticket 的 appid 一致。
- the permission value is offline verifying这个错误是因为config没有正确执行,或者是调用的JSAPI没有传入config的jsApiList参数中。建议按如下顺序检查:
- 确认config正确通过。
- 如果是在页面加载好时就调用了JSAPI,则必须写在wx.ready的回调中。
- 确认config的jsApiList参数包含了这个JSAPI。
- permission denied该应用没有权限使用这个JSAPI。
附录8-DEMO页面和示例代码
DEMO页面:http://demo.open.weixin.qq.com/jssdk
示例代码:http://demo.open.weixin.qq.com/jssdk/sample.zip
备注:链接中包含php、java、nodejs以及python的示例代码供第三方参考,第三方切记要对获取的accesstoken以及jsapi_ticket进行缓存以确保不会触发频率限制。
附录9-问题反馈
邮箱地址:weixin-open@qq.com
邮件主题:【微信JS-SDK反馈】
邮件内容说明:
用简明的语言描述问题所在,并交代清楚遇到该问题的场景,可附上截屏图片,微信团队会尽快处理你的反馈。