卡片消息回调代码有问题，设置了密码和token之后配置不了，同样的密码和token，事件回调可以通过验证，卡片订阅不能通过验证，事件回调的地址放到卡片订阅也可以通过。

Abierto

#116 abierto el 29/2/2024 1 comentario 0 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad: 3/5
Tiempo estimado: 1-2 días
Aptitud para principiantes: 35/100

Tipo de issue: Error
Claridad: Bastante claro
Estado de actividad: Estancado
Stack tecnológico: java
Área: api, authentication

Línea de trabajo

Comienza con los dos métodos verifySign(EventReq eventReq) mostrados en el issue y compara su uso de verificationToken, encryptKey y calculateSignature. Reproduce la validación con la misma clave y el mismo token para las callbacks de eventos y las suscripciones de tarjetas; se considera terminado cuando ambos tipos de callbacks superan de forma consistente la verificación de firma con una configuración coincidente.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

如题。我们在使用事件回调和卡片消息回调时同样的key和token，一个能通过校验，一个不能。通过排查，发现两个方法SDK的签名验证逻辑的代码不一样，一个用的是key，一个用的token

` private boolean verifySign(EventReq eventReq) throws NoSuchAlgorithmException {
if (Strings.isEmpty(verificationToken)) {
return true;
}

    String cipherEventJsonStr = new String(eventReq.getBody(), StandardCharsets.UTF_8);
    String timestamp, nonce, sourceSign, targetSign;
    timestamp = eventReq.getHeaderFirstValue(Constants.X_LARK_REQUEST_TIMESTAMP);
    nonce = eventReq.getHeaderFirstValue(Constants.X_LARK_REQUEST_NONCE);
    sourceSign = eventReq.getHeaderFirstValue(Constants.X_LARK_SIGNATURE);
    targetSign = calculateSignature(timestamp, nonce, verificationToken, cipherEventJsonStr);
    return targetSign.equals(sourceSign);
}`

`private boolean verifySign(EventReq eventReq) throws NoSuchAlgorithmException {
if (Strings.isEmpty(encryptKey)) {
return true;
}

    String cipherEventJsonStr = new String(eventReq.getBody(), StandardCharsets.UTF_8);
    String timestamp, nonce, sourceSign, targetSign;
    timestamp = eventReq.getHeaderFirstValue(Constants.X_LARK_REQUEST_TIMESTAMP);
    nonce = eventReq.getHeaderFirstValue(Constants.X_LARK_REQUEST_NONCE);
    sourceSign = eventReq.getHeaderFirstValue(Constants.X_LARK_SIGNATURE);
    targetSign = calculateSignature(timestamp, nonce, encryptKey, cipherEventJsonStr);
    return targetSign.equals(sourceSign);
}`

使用key的可以通过校验，使用token的不能通过。我理解两个事件应该是一样的处理鉴权的逻辑，有人能帮忙看看吗？