简介本资源是一套完整的微信小程序用户信息获取与解密实战方案面向Java后端开发者及小程序全栈工程师解决小程序中安全获取用户手机号、openid、session_key及基础信息等核心鉴权问题。压缩包共30个文件包含6个配置类JSON、5个前端逻辑JS、4个样式WXSS、3个Java源码文件、3个编译后CLASS文件、3个关键依赖JAR如commons-codec、bcprov加密库、3个页面结构WXML以及项目配置文件整体1.79MB结构清晰前后端分离明确。已有8080人学习下载资源源自真实项目剥离经实际验证可用附带完整Java解密工具类与小程序端调用示例涵盖敏感数据加解密全流程、会话密钥校验逻辑及错误处理机制便于快速集成到自有业务系统中。1. 微信小程序手机号解密不是“调个 API 就完事”Java 后端必须亲手处理 AES-128-CBC 解密与 session_key 安全校验很多开发者第一次接入微信小程序「获取手机号」功能时以为前端button open-typegetPhoneNumber点一下后端收个encryptedData和iv就能直接解出明文手机号——结果发现解出来全是乱码或报错IllegalBlockSizeException。根本原因在于微信返回的加密数据是标准 AES-128-CBC 模式但必须用正确的 session_key且该 key 本身由 code 换取有 5 分钟有效期 正确的 PKCS#7 填充 严格校验 encryptedData 的 WxData 签名结构缺一不可。本项目提供的 Java 解密源码正是绕过小程序云开发、直连微信接口的生产级实现覆盖从code → openid/session_key到encryptedData → 手机号全链路含完整依赖bcprov-jdk15-136.jar、commons-codec-1.8.jar、可复现的getPhoneNumberJava工程结构及小程序端getphonenumber页面联动逻辑。适合已上线小程序需自主掌控用户数据、或正在准备 Java 面试题中「微信登录流程」、「AES 解密实战」、「session_key 安全性设计」等考点的开发者。2. 微信登录凭证链解析为什么必须用 Java 主动换取 session_key而非信任前端传来的任何 token微信小程序的登录体系本质是「双凭证模型」前端通过wx.login()获取临时code后端用该code向微信服务器换取openid和session_key后续所有敏感数据如手机号、用户信息的解密都强依赖这个session_key。若跳过此步、直接让前端把session_key传给后端将导致严重安全风险——攻击者可伪造任意code换取合法session_key进而解密他人手机号。本项目 Java 实现严格遵循微信官方要求所有code换取逻辑均在服务端完成且对响应做完整性校验。2.1 微信登录接口调用与 session_key 提取逻辑微信登录接口地址为https://api.weixin.qq.com/sns/jscode2session需携带appid、secret、js_code和grant_typeauthorization_code四个参数。关键点在于响应体为 JSON但字段名是小写openid/session_key而非驼峰且session_key是 base64 编码字符串需解码为 byte[] 才可用于 AES 解密。// com.gexin.rp.util.WxLoginUtil.java public static WxSessionResult getSessionKey(String appId, String appSecret, String jsCode) { String url https://api.weixin.qq.com/sns/jscode2session? appid appId secret appSecret js_code jsCode grant_typeauthorization_code; try { String response HttpUtil.get(url); // 使用简易 HTTP 工具类项目中 utils/util.js 有对应 JS 版 JSONObject json JSONObject.parseObject(response); // 关键校验微信返回 errorcode 表示失败必须拦截 if (json.containsKey(errcode)) { int errcode json.getIntValue(errcode); throw new RuntimeException(微信登录失败errcode errcode , errmsg json.getString(errmsg)); } WxSessionResult result new WxSessionResult(); result.setOpenid(json.getString(openid)); result.setSessionKey(Base64.getDecoder().decode(json.getString(session_key))); // 必须 Base64 解码 result.setUnionid(json.getString(unionid)); // 非必需但建议保留 return result; } catch (Exception e) { throw new RuntimeException(解析微信 session 接口响应失败, e); } }注意Base64.getDecoder().decode()是 JDK 1.8 标准 API无需额外依赖。若使用旧版 JDK需引入commons-codec-1.8.jar并调用Base64.decodeBase64()。项目lib目录下已包含该 jar确保兼容性。2.2 session_key 安全边界与生命周期管理session_key不是永久凭证其有效期为5 分钟且同一code只能换取一次。生产环境必须避免以下误用❌ 将session_key存入数据库长期缓存❌ 多次用同一code请求换取导致微信返回40029 invalid code❌ 在日志中打印完整session_key应仅记录前 4 位用于追踪。本项目采用内存级短时效缓存策略未内置 Redis但预留扩展点// com.gexin.rp.cache.SessionKeyCache.java示意结构实际代码在 src/com/gexin/rp/ 下 private static final MapString, CacheEntry CACHE new ConcurrentHashMap(); private static final long EXPIRE_MILLIS 5 * 60 * 1000; // 5 分钟 public static void put(String code, byte[] sessionKey, String openid) { CACHE.put(code, new CacheEntry(sessionKey, openid, System.currentTimeMillis())); } public static CacheEntry get(String code) { CacheEntry entry CACHE.get(code); if (entry ! null System.currentTimeMillis() - entry.timestamp EXPIRE_MILLIS) { return entry; } else { CACHE.remove(code); return null; } }2.2.1 为什么不能用小程序端wx.getStorageSync(session_key)小程序端wx.setStorageSync存储的session_key是前端自行生成的模拟值与微信服务器下发的真实 key 完全无关。微信明确禁止前端参与session_key生成或存储所有解密操作必须在服务端用真实session_key执行。此为微信安全设计核心——session_key永远不暴露给客户端。3. AES-128-CBC 解密手机号Bouncy Castle 是唯一可靠选择PKCS#7 填充与 IV 向量必须精准匹配获取到session_key后解密encryptedData的过程看似简单实则充满陷阱。微信采用标准 AES-128-CBC 加密但密钥长度必须为 128 位16 字节IV 向量必须为 16 字节且与前端传入的iv完全一致填充方式必须为 PKCS#7。JDK 自带Cipher对 PKCS#5 填充支持较好但对 PKCS#7 兼容性差且无法处理微信特有的WxData结构校验。因此本项目强制依赖bcprov-jdk15-136.jarBouncy Castle 1.36 版本适配 JDK 1.5。3.1 微信 encryptedData 数据结构解析微信返回的encryptedData并非原始密文而是WxData 格式[4字节 uint32_t length][length 字节的 ASN.1 编码数据]。其中 ASN.1 数据包含phoneNumber、purePhoneNumber、countryCode等字段。解密前必须先剥离头部长度字段再对剩余部分进行 AES 解密。本项目WxPhoneNumberDecryptor.java中的decrypt方法已封装此逻辑。// com.gexin.rp.util.WxPhoneNumberDecryptor.java public static String decryptPhoneNumber(byte[] encryptedData, byte[] sessionKey, byte[] iv) throws Exception { // 1. 剥离 WxData 头部4 字节长度 ByteArrayInputStream bais new ByteArrayInputStream(encryptedData); DataInputStream dis new DataInputStream(bais); int len dis.readInt(); // 读取前 4 字节长度 byte[] data new byte[len]; dis.readFully(data); // 读取真正密文 // 2. 初始化 Bouncy Castle AES/CBC/PKCS7 解密器 Security.addProvider(new BouncyCastleProvider()); // 注册 BC 提供者 SecretKeySpec keySpec new SecretKeySpec(sessionKey, AES); IvParameterSpec ivSpec new IvParameterSpec(iv); Cipher cipher Cipher.getInstance(AES/CBC/PKCS7Padding, BC); // 显式指定 BC 提供者 cipher.init(Cipher.DECRYPT_MODE, keySpec, ivSpec); byte[] decrypted cipher.doFinal(data); // 3. 解析 ASN.1 结构微信使用 DER 编码 ASN1InputStream asn1In new ASN1InputStream(decrypted); ASN1Sequence sequence (ASN1Sequence) asn1In.readObject(); asn1In.close(); // 4. 提取 phoneNumber 字段位置固定微信文档约定 String phoneNumber ((ASN1String) sequence.getObjectAt(2)).getString(); // 索引 2 为 phoneNumber return phoneNumber; }提示sequence.getObjectAt(2)是微信官方 ASN.1 结构的固定偏移对应phoneNumber字段。若微信未来调整结构此处需同步更新。项目注释中已标明各索引含义便于维护。3.2 关键参数对照表解密失败 90% 源于这三项不匹配参数来源要求常见错误session_keyjscode2session接口返回Base64 解码后的 16 字节 byte[]忘记 Base64 解码直接当字符串用作密钥iv小程序端getPhoneNumber回调的iv字段Base64 解码后的 16 字节 byte[]前端传iv为空或格式错误未做空值校验encryptedData小程序端getPhoneNumber回调的encryptedData字段Base64 解码后需先剥离 4 字节长度头直接对 Base64 解码结果调用doFinal()未处理 WxData 封装3.3 完整解密流程验证用 Postman 模拟请求链为快速验证 Java 解密逻辑可在 Postman 中构造三步请求Step 1换取 session_keyGET https://api.weixin.qq.com/sns/jscode2session?appidxxxsecretxxxjs_codexxxgrant_typeauthorization_code→ 记录返回的session_keybase64 字符串和openidStep 2构造测试密文使用小程序真机调试触发getPhoneNumber捕获encryptedData和iv均为 base64 字符串Step 3调用 Java 解密接口curl -X POST http://localhost:8080/api/decryptPhone \ -H Content-Type: application/json \ -d { encryptedData: base64_encrypted_data, iv: base64_iv, sessionKey: base64_session_key }后端WxPhoneNumberDecryptor.decrypt()应返回标准手机号如138****1234。注意session_key和iv必须是 base64 字符串Java 层需先Base64.getDecoder().decode()。若 Postman 返回BadPaddingException90% 是session_key或iv长度不对非 16 字节若返回空字符串检查 ASN.1 解析索引是否越界。4. 小程序端联调要点button 绑定、bindgetphonenumber 事件与 wx.request 透传设计Java 后端解密能力再强若小程序端未正确触发和传递数据整个流程即告失败。本项目pages/getphonenumber/index.js提供了最小可行联调模板重点解决三个高频问题open-typegetPhoneNumber的 button 渲染异常、bindgetphonenumber事件未触发、encryptedData透传丢失。4.1 WXML 结构与 button 权限控制微信要求getPhoneNumberbutton 必须为button open-typegetPhoneNumber且不能包裹其他标签不能设置hover-class以外的 class且必须在真机上测试开发者工具模拟无效!-- pages/getphonenumber/index.wxml -- view classcontainer !-- ✅ 正确写法独立 button无嵌套 -- button open-typegetPhoneNumber bindgetphonenumberonGetPhoneNumber 获取手机号 /button !-- ❌ 错误写法span 包裹、添加 icon、自定义样式 -- !-- button open-typegetPhoneNumber text获取/texticon typephone/ /button -- /view4.2 JS 事件处理与数据透传bindgetphonenumber回调接收e.detail其中encryptedData和iv为 base64 字符串需原样传给后端// pages/getphonenumber/index.js Page({ onGetPhoneNumber: function(e) { if (e.detail.errMsg getPhoneNumber:ok) { const { encryptedData, iv } e.detail; // 关键必须将 encryptedData 和 iv 作为字符串透传不可二次 encode wx.request({ url: https://your-api.com/api/decryptPhone, method: POST, data: { encryptedData: encryptedData, iv: iv, // 注意此处不传 session_key由后端用 code 换取 code: this.data.code // 前序 login 获取的 code需提前存储 }, success: res { console.log(手机号解密成功, res.data.phoneNumber); }, fail: err { console.error(解密失败, err); } }); } else { console.warn(用户拒绝授权手机号); } } });4.2.1 为什么code必须在getPhoneNumber前获取并缓存因为getPhoneNumber事件触发时wx.login()的code已失效5 分钟窗口。正确流程是进入页面时立即调用wx.login()获取code存入this.data.code用户点击按钮触发onGetPhoneNumber将codeencryptedDataiv一并发送至后端后端用code换取session_key再解密encryptedData。提示code有效期仅 5 分钟若用户长时间停留页面需增加重试逻辑——检测code是否过期后端返回40029引导用户重新触发wx.login()。5. 生产环境加固session_key 防重放、手机号脱敏存储与 Java 面试高频考点映射上线前必须处理三个生产级风险code重放攻击、手机号明文落库、解密失败无降级方案。本项目虽为教学剥离版但已预留加固入口可直接对接 Spring Security 或 Shiro。5.1 防重放基于时间戳与 nonce 的 code 一次性校验微信code本身具备一次性但为防网络重放后端应增加timestamp和nonce校验// 在接收 /api/decryptPhone 请求时 PostMapping(/decryptPhone) public ResultString decryptPhone(RequestBody PhoneDecryptRequest request) { // 1. 校验 timestamp请求时间距当前不超过 2 分钟 long now System.currentTimeMillis(); if (Math.abs(now - request.getTimestamp()) 2 * 60 * 1000) { return Result.fail(请求超时); } // 2. 校验 nonceRedis 存储 5 分钟防止重复提交 String nonceKey phone_nonce: request.getNonce(); Boolean exists redisTemplate.hasKey(nonceKey); if (exists ! null exists) { return Result.fail(请求已被处理); } redisTemplate.opsForValue().set(nonceKey, 1, Duration.ofMinutes(5)); // 3. 执行解密... }5.2 手机号存储规范符合 GDPR 与国内《个人信息保护法》解密后的手机号禁止明文存储必须脱敏或加密✅ 脱敏存储138****1234仅用于展示✅ 加密存储使用 AES-GCM 或 SM4 加密密钥由 KMS 管理❌ 明文存储违反法规面临高额罚款// 脱敏工具类项目 utils/util.js 有 JS 对应版 public static String maskPhoneNumber(String phone) { if (phone null || phone.length() 11) return phone; return phone.substring(0, 3) **** phone.substring(7); }5.3 Java 面试必答微信登录流程与 session_key 安全设计本项目代码直击面试高频题Q微信登录为什么需要 code 换 session_key而不是直接传 tokenAcode是一次性的临时凭证session_key由微信服务器生成并绑定openid避免前端伪造身份。session_key不传输给前端切断了密钥泄露路径。QAES 解密报 BadPaddingException 怎么排查A按顺序检查①session_key和iv是否为 16 字节Base64 解码后②encryptedData是否剥离了 WxData 头部③ Cipher 初始化时是否指定BC提供者及PKCS7Padding。Q如何保证手机号解密结果不被篡改A微信encryptedData内置 ASN.1 签名Bouncy Castle 解析时自动校验。若签名失败ASN1InputStream.readObject()会抛出IOException需捕获并拒绝该请求。最后提醒微信接口域名api.weixin.qq.com必须加入小程序request合法域名列表否则真机请求被拦截。本项目project.config.json中已配置部署时请同步检查。本文还有配套的精品资源点击获取