静默授权安全漏洞引发死循环？终极解决方案奉上

2024-01-06 15:04:32

好的，以下是根据您的输入以专业博主的观点撰写的文章：

最近，在开发一个微信webapp单页应用项目时，为了更好的用户体验，我们采用了静默授权的方式来获取用户的openid。按照微信开发文档的步骤操作，很容易的就实现了获取openid的功能。然而，在实际使用中，却遇到了一个严重的安全漏洞：静默授权过程中，浏览器历史记录会增加，导致跳转死循环。

问题分析

要理解这个问题，首先要明白微信静默授权的原理。静默授权是通过在用户访问微信公众号或小程序时，在后台自动获取用户的openid，而不需要用户手动授权。这背后的原理是利用了微信的网页授权功能。当用户访问公众号或小程序时，微信会自动在用户的浏览器中添加一个授权记录，其中包含了用户的openid。当我们使用静默授权时，会读取这个授权记录，从而获取用户的openid。

然而，在某些情况下，微信授权记录可能会被清除，导致静默授权失败。这时，就会触发跳转死循环。例如，当用户退出微信公众号或小程序后，授权记录会被清除。当用户再次访问公众号或小程序时，静默授权就会失败，并跳转到授权页面。然而，由于授权页面已经加载过一次，因此浏览器历史记录中已经存在了这个页面。当用户点击授权按钮时，浏览器会从历史记录中加载授权页面，而不是从微信服务器加载。这就会导致跳转死循环。

终极解决方案

为了解决这个问题，我们需要在静默授权失败时，将用户重定向到一个自定义页面，而不是授权页面。这个自定义页面可以是项目的主页，也可以是一个提示用户授权失败的页面。这样，就可以避免跳转死循环。

以下是在代码中的实现：

// 监听静默授权状态
window.addEventListener('load', function() {
  if (!isAuthorized()) {
    // 如果没有授权，则跳转到自定义页面
    window.location.href = '/custom-page';
  }
});

// 判断是否已经授权
function isAuthorized() {
  // 从本地存储中获取授权记录
  const authRecord = localStorage.getItem('wechat_auth_record');
  if (authRecord) {
    // 如果授权记录存在，则说明已经授权
    return true;
  } else {
    // 如果授权记录不存在，则说明没有授权
    return false;
  }
}