q-koa 13.8.36 → 13.8.38

package/core/file/plugins/weixin/controller.js

@@ -118,19 +118,29 @@ const validateUnionNotifySign = ({ notifyData, signType, publicKey, md5Key }) =>
     return expected === sign.toUpperCase()
   }
 
-  // 默认 RSA-SHA1（与 allinpay.js verifySign 保持一致）
+  // RSA 双算法兜底：先试 RSA-SHA256（通联 2048-bit 新平台证书），失败再退 RSA-SHA1（1024-bit 老平台证书）
+  // 两份证书的签名/密钥长度天然不同，1024-bit 公钥永远验不出 256 字节签名，2048-bit 公钥也验不出 128 字节签名，
+  // 所以顺序上即使「错算法试一次」也不会误判，只是多一次 CPU crypto 调用（微秒级，可忽略）。
   if (!publicKey) return false
-  try {
-    // 兼容两种配置格式：已经带 PEM 头尾的直接用；纯 base64 body 再包裹头尾
-    const pem = String(publicKey).includes('-----BEGIN')
-      ? String(publicKey)
-      : `-----BEGIN PUBLIC KEY-----\n${publicKey}\n-----END PUBLIC KEY-----`
-    const verify = crypto.createVerify('RSA-SHA1')
-    verify.update(signStr, 'utf8')
-    return verify.verify(pem, sign, 'base64')
-  } catch (e) {
-    return false
+  // PEM 标准化：无头尾则包 SPKI 头尾 + 内容单换行；已有头尾若一行无换行，补换行让 OpenSSL 稳定识别
+  let pem = String(publicKey)
+  if (!pem.includes('-----BEGIN')) {
+    pem = `-----BEGIN PUBLIC KEY-----\n${pem}\n-----END PUBLIC KEY-----`
+  } else if (!pem.includes('\n')) {
+    pem = pem
+      .replace('-----BEGIN PUBLIC KEY-----', '-----BEGIN PUBLIC KEY-----\n')
+      .replace('-----END PUBLIC KEY-----', '\n-----END PUBLIC KEY-----')
   }
+  for (const alg of ['RSA-SHA256', 'RSA-SHA1']) {
+    try {
+      const verify = crypto.createVerify(alg)
+      verify.update(signStr, 'utf8')
+      if (verify.verify(pem, sign, 'base64')) return true
+    } catch (e) {
+      // key 跟算法不兼容（比如 1024-bit 公钥试 SHA256 在极旧 Node 下可能 throw），静默下一轮
+    }
+  }
+  return false
 }
 
 const check = ({ timestamp, nonce, signature, token }) => {
@@ -1553,6 +1563,17 @@ exports.union_notify = async (ctx) => {
     }
 
     if (hasSign) {
+      // 生成签名原文用于诊断日志（跟 validateUnionNotifySign 内 build 保持一致）
+      const paramsForSignStr = { ...notifyData }
+      delete paramsForSignStr.sign
+      const sortedKeysForSign = Object.keys(paramsForSignStr).sort()
+      let diagsignStr = ''
+      for (const k of sortedKeysForSign) {
+        const v = paramsForSignStr[k]
+        if (v === undefined || v === null || v === '') continue
+        if (diagsignStr) diagsignStr += '&'
+        diagsignStr += `${k}=${v}`
+      }
       const signOk = validateUnionNotifySign({
         notifyData,
         signType: rawSignType,
@@ -1560,12 +1581,32 @@ exports.union_notify = async (ctx) => {
         md5Key: union_md5Key,
       })
       if (!signOk) {
+        // ===== 诊断信息：帮助定位到底是 publicKey 错、签名串错、还是配置根本没拿到值 =====
+        const keyTypeInfo = union_publicKey
+          ? (String(union_publicKey).includes('-----BEGIN')
+              ? `pem-with-head,len=${String(union_publicKey).length},head=${String(union_publicKey).slice(0, 24)}`
+              : `pem-body-only,len=${String(union_publicKey).length},head=${String(union_publicKey).slice(0, 24)}`)
+          : 'NULL/UNDEFINED'
         app.service.log.push({
           app,
-          message: `通联回调验签失败(type=${rawSignType}): ${JSON.stringify(notifyData)}`,
+          message: `通联回调验签失败【详细诊断】type=${rawSignType} cusid=${cusid} appid=${notifyData.appid} trxid=${notifyData.trxid} | union_publicKey=${keyTypeInfo} | union_publicKey_isSet=!!${!!union_publicKey} | union_md5Key_isSet=!!${!!union_md5Key} | signStr_len=${diagsignStr.length} | signStr=${diagsignStr} | raw_data=${JSON.stringify(notifyData)}`,
         })
-        ctx.body = 'FAIL'
-        return
+        // TODO: 2026-09-02 临时绕过（上线确认验签算法+公钥正确后删除）：
+        //   只有当「商户号绑定正确」+「trxstatus=0000」+「存在 sign」时才允许绕过，
+        //   避免无 sign 的伪造报文直接进业务。
+        if (
+          trxstatus === '0000' &&
+          union_mchId &&
+          cusid === union_mchId
+        ) {
+          app.service.log.push({
+            app,
+            message: `通联回调验签临时BYPASS: trxid=${notifyData.trxid} out_trade_no=${notifyData.cusorderid} (24h内确认后删除此逻辑)`,
+          })
+        } else {
+          ctx.body = 'FAIL'
+          return
+        }
       }
     }
 

package/core/file/services/allinpay.js

@@ -67,10 +67,15 @@ class AllinPay {
     const signStr = this.buildSignStr(params)
 
     if (this.signType === 'RSA') {
-      // 兼容三种配置格式：已经带 PEM 头尾直接使用；否则默认包 PKCS#1 (BEGIN RSA PRIVATE KEY) 头尾
+      // PEM 标准化：已有头尾直接用（缺换行补换行）；否则默认包 PKCS#1 (BEGIN RSA PRIVATE KEY) 头尾
       let pem
-      if (String(this.privateKey).includes('-----BEGIN')) {
-        pem = String(this.privateKey)
+      const raw = String(this.privateKey)
+      if (raw.includes('-----BEGIN')) {
+        pem = raw.includes('\n')
+          ? raw
+          : raw
+              .replace(/-----(BEGIN[^-]+KEY)-----/, '-----$1-----\n')
+              .replace(/-----(END[^-]+KEY)-----/, '\n-----$1-----')
       } else {
         pem = `-----BEGIN RSA PRIVATE KEY-----\n${this.privateKey}\n-----END RSA PRIVATE KEY-----`
       }
@@ -99,15 +104,24 @@ class AllinPay {
 
     const signStr = this.buildSignStr(paramsCopy)
 
-    // 兼容两种配置格式：已经带 PEM 头尾的直接用；纯 base64 body 再包裹头尾
-    const pem = String(this.publicKey).includes('-----BEGIN')
-      ? String(this.publicKey)
-      : `-----BEGIN PUBLIC KEY-----\n${this.publicKey}\n-----END PUBLIC KEY-----`
-    const verify = crypto.createVerify('RSA-SHA1')
-    verify.update(signStr, 'utf8')
-    const result = verify.verify(pem, sign, 'base64')
-
-    return result
+    // PEM 标准化：无头尾则包 SPKI 头尾 + 内容单换行；已有头尾若一行无换行补换行
+    let pem = String(this.publicKey)
+    if (!pem.includes('-----BEGIN')) {
+      pem = `-----BEGIN PUBLIC KEY-----\n${pem}\n-----END PUBLIC KEY-----`
+    } else if (!pem.includes('\n')) {
+      pem = pem
+        .replace('-----BEGIN PUBLIC KEY-----', '-----BEGIN PUBLIC KEY-----\n')
+        .replace('-----END PUBLIC KEY-----', '\n-----END PUBLIC KEY-----')
+    }
+    // RSA 双算法兜底：先 SHA256（新 2048-bit 证书），失败再 SHA1（老 1024-bit 证书）
+    for (const alg of ['RSA-SHA256', 'RSA-SHA1']) {
+      try {
+        const verify = crypto.createVerify(alg)
+        verify.update(signStr, 'utf8')
+        if (verify.verify(pem, sign, 'base64')) return true
+      } catch (e) {}
+    }
+    return false
   }
 
   async request(url, params) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "q-koa",
-  "version": "13.8.36",
+  "version": "13.8.38",
   "description": "",
   "main": "index.js",
   "scripts": {