接收并处理事件

为了提升事件订阅的安全性，接收到开放平台推送的事件后，可以进行安全校验。如果是加密事件，需要先解密事件，再解析事件详情。

安全校验

业务方收到开放平台推送的事件时（不包括请求网址校验），如果需要确保这个请求的来源是开放平台而非伪造，有两种方式进行安全校验：Verification Token 校验和签名校验。

Verification Token 校验

这种校验方式简单，但是安全性较低：

如果是加密事件，需要解密和解析事件，获取 Verification Token 进行校验。

请参考本文下方的事件解密，了解如何解密事件；可以向智书客服询问并且索要 Verification Token，并且与事件中解析出的 Verification Token 进行对比。

如果是未加密事件，需要解析事件，获取 Verification Token 进行校验。明文传输会有 Verification Token 泄露风险。

签名校验

这种校验方式相对复杂，但是安全性高，不需要解密和解析事件。校验方式如下：
向智书客服询问并且索要 encrypt_key。

校验请求来源：

将请求头 X-Lark-Request-Timestamp、X-Lark-Request-Nonce 与 encrypt_key 拼接后按照 encode('utf-8') 编码得到 byte[] b1，再拼接上请求的原始 body, 得到一个 byte[] b。

将 b 用 sha256 算法得到字符串 s，校验 s 是否和请求头 X-Lark-Signature 一致。

示例代码

下面的示例代码，包括如下参数：

timestamp：对应请求头中的 X-Lark-Request-Timestamp。

nonce：对应请求头中的 X-Lark-Request-Nonce。

encrypt_key：从开发者后台获取的 Encrypt Key。有关 Encrypt Key 的详细介绍，可以参考获取 Encrypt Key。

Python 3

Java

Golang

Node.js

C#

PHP

事件解密

加密原理

事件内容采用 AES-256-CBC 加密，加密原理如下：

使用 SHA256 对 Encrypt Key进行哈希得到密钥key。

使用 PKCS7Padding 方式将事件内容进行填充。

生成 16 字节的随机数作为初始向量 iv。

使用 iv 和 key 对事件内容加密得到 encrypted_event。

应用收到的密文为 base64(iv+encrypted_event)。

示例代码

当订阅的消息事件发生时，就会触发回调，应用将收到加密的事件内容，请参考下面的示例代码进行事件解密，获取事件内容。

Python 3

请先执行 pip install pycryptodome 以支持引入 AES 方法

Java

Golang

Node.js

C#

PHP

事件解密

加密原理

事件内容采用 AES-256-CBC 加密，加密原理如下：

使用 SHA256 对 Encrypt Key进行哈希得到密钥key。

使用 PKCS7Padding 方式将事件内容进行填充。

生成 16 字节的随机数作为初始向量 iv。

使用 iv 和 key 对事件内容加密得到 encrypted_event。

应用收到的密文为 base64(iv+encrypted_event)。

示例代码

当订阅的消息事件发生时，就会触发回调，应用将收到加密的事件内容，请参考下面的示例代码进行事件解密，获取事件内容。

接收并处理事件

接收并处理事件#

安全校验#

Verification Token 校验#

签名校验#

示例代码#

Python 3#

Java#

Golang#

Node.js#

C##

PHP#

事件解密#

加密原理#

示例代码#

Python 3#

Java#

Golang#

Node.js#

C##

PHP#

事件解密#

加密原理#

示例代码#

Python 3#

Java#

Golang#

Node.js#

C##

PHP#

接收并处理事件

安全校验

Verification Token 校验

签名校验

示例代码

Python 3

Java

Golang

Node.js

C#

PHP

事件解密

加密原理

示例代码

Python 3

Java

Golang

Node.js

C#

PHP

事件解密

加密原理

示例代码

Python 3

Java

Golang

Node.js

C#

PHP