q-koa 13.8.37 → 13.8.38

package/core/file/plugins/weixin/controller.js

@@ -118,19 +118,29 @@ const validateUnionNotifySign = ({ notifyData, signType, publicKey, md5Key }) =>
     return expected === sign.toUpperCase()
   }
 
-  // 默认 RSA-SHA1（与 allinpay.js verifySign 保持一致）
+  // RSA 双算法兜底：先试 RSA-SHA256（通联 2048-bit 新平台证书），失败再退 RSA-SHA1（1024-bit 老平台证书）
+  // 两份证书的签名/密钥长度天然不同，1024-bit 公钥永远验不出 256 字节签名，2048-bit 公钥也验不出 128 字节签名，
+  // 所以顺序上即使「错算法试一次」也不会误判，只是多一次 CPU crypto 调用（微秒级，可忽略）。
   if (!publicKey) return false
-  try {
-    // 兼容两种配置格式：已经带 PEM 头尾的直接用；纯 base64 body 再包裹头尾
-    const pem = String(publicKey).includes('-----BEGIN')
-      ? String(publicKey)
-      : `-----BEGIN PUBLIC KEY-----\n${publicKey}\n-----END PUBLIC KEY-----`
-    const verify = crypto.createVerify('RSA-SHA1')
-    verify.update(signStr, 'utf8')
-    return verify.verify(pem, sign, 'base64')
-  } catch (e) {
-    return false
+  // PEM 标准化：无头尾则包 SPKI 头尾 + 内容单换行；已有头尾若一行无换行，补换行让 OpenSSL 稳定识别
+  let pem = String(publicKey)
+  if (!pem.includes('-----BEGIN')) {
+    pem = `-----BEGIN PUBLIC KEY-----\n${pem}\n-----END PUBLIC KEY-----`
+  } else if (!pem.includes('\n')) {
+    pem = pem
+      .replace('-----BEGIN PUBLIC KEY-----', '-----BEGIN PUBLIC KEY-----\n')
+      .replace('-----END PUBLIC KEY-----', '\n-----END PUBLIC KEY-----')
+  }
+  for (const alg of ['RSA-SHA256', 'RSA-SHA1']) {
+    try {
+      const verify = crypto.createVerify(alg)
+      verify.update(signStr, 'utf8')
+      if (verify.verify(pem, sign, 'base64')) return true
+    } catch (e) {
+      // key 跟算法不兼容（比如 1024-bit 公钥试 SHA256 在极旧 Node 下可能 throw），静默下一轮
+    }
   }
+  return false
 }
 
 const check = ({ timestamp, nonce, signature, token }) => {

package/core/file/services/allinpay.js

@@ -67,10 +67,15 @@ class AllinPay {
     const signStr = this.buildSignStr(params)
 
     if (this.signType === 'RSA') {
-      // 兼容三种配置格式：已经带 PEM 头尾直接使用；否则默认包 PKCS#1 (BEGIN RSA PRIVATE KEY) 头尾
+      // PEM 标准化：已有头尾直接用（缺换行补换行）；否则默认包 PKCS#1 (BEGIN RSA PRIVATE KEY) 头尾
       let pem
-      if (String(this.privateKey).includes('-----BEGIN')) {
-        pem = String(this.privateKey)
+      const raw = String(this.privateKey)
+      if (raw.includes('-----BEGIN')) {
+        pem = raw.includes('\n')
+          ? raw
+          : raw
+              .replace(/-----(BEGIN[^-]+KEY)-----/, '-----$1-----\n')
+              .replace(/-----(END[^-]+KEY)-----/, '\n-----$1-----')
       } else {
         pem = `-----BEGIN RSA PRIVATE KEY-----\n${this.privateKey}\n-----END RSA PRIVATE KEY-----`
       }
@@ -99,15 +104,24 @@ class AllinPay {
 
     const signStr = this.buildSignStr(paramsCopy)
 
-    // 兼容两种配置格式：已经带 PEM 头尾的直接用；纯 base64 body 再包裹头尾
-    const pem = String(this.publicKey).includes('-----BEGIN')
-      ? String(this.publicKey)
-      : `-----BEGIN PUBLIC KEY-----\n${this.publicKey}\n-----END PUBLIC KEY-----`
-    const verify = crypto.createVerify('RSA-SHA1')
-    verify.update(signStr, 'utf8')
-    const result = verify.verify(pem, sign, 'base64')
-
-    return result
+    // PEM 标准化：无头尾则包 SPKI 头尾 + 内容单换行；已有头尾若一行无换行补换行
+    let pem = String(this.publicKey)
+    if (!pem.includes('-----BEGIN')) {
+      pem = `-----BEGIN PUBLIC KEY-----\n${pem}\n-----END PUBLIC KEY-----`
+    } else if (!pem.includes('\n')) {
+      pem = pem
+        .replace('-----BEGIN PUBLIC KEY-----', '-----BEGIN PUBLIC KEY-----\n')
+        .replace('-----END PUBLIC KEY-----', '\n-----END PUBLIC KEY-----')
+    }
+    // RSA 双算法兜底：先 SHA256（新 2048-bit 证书），失败再 SHA1（老 1024-bit 证书）
+    for (const alg of ['RSA-SHA256', 'RSA-SHA1']) {
+      try {
+        const verify = crypto.createVerify(alg)
+        verify.update(signStr, 'utf8')
+        if (verify.verify(pem, sign, 'base64')) return true
+      } catch (e) {}
+    }
+    return false
   }
 
   async request(url, params) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "q-koa",
-  "version": "13.8.37",
+  "version": "13.8.38",
   "description": "",
   "main": "index.js",
   "scripts": {