From 06f76b4df4787d043c5dee6a701791cddf98cf4d Mon Sep 17 00:00:00 2001 From: Karlcarlo Date: Tue, 22 Sep 2026 21:36:52 +0800 Subject: [PATCH] =?UTF-8?q?feat(=E8=BA=AB=E4=BB=BD):=20=E5=90=8C=E6=BA=90?= =?UTF-8?q?=E8=BA=AB=E4=BB=BD=E7=BC=93=E5=AD=98=E5=85=9C=E5=BA=95=20?= =?UTF-8?q?=E2=80=94=E2=80=94=20H5=E3=80=8C=E8=BF=94=E5=9B=9E=E9=A6=96?= =?UTF-8?q?=E9=A1=B5=E3=80=8D=E8=A3=B8=E8=B7=B3=E4=B8=8D=E5=86=8D=E4=B8=A2?= =?UTF-8?q?=20openid/unionid=20(v26092212)?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit 问题（实测孕检日历，第三方应用）：页面里的「返回首页」是**页面自己发起的同源跳转**， 宿主的 属性没变 → _applyIdentity() 不触发 → mama-box 的 URL 上没有身份 → 只能显示「身份不完整」；而 retryIdentity() 只是 location.replace(自己 + 缓存戳)， 同一条没有身份的 URL 重载，**永远救不回来**。而且该应用会主动把 openid/phone 从自己的 URL 上擦掉（防分享链接冒名，理由见它的注释）—— 所以那一跳**不可能**带上身份。 做法（方案已与产品确认；在架 12 个应用实测全在 mp.yizhezhe.com，同源共享 storage）： - js/wx-auth.js：新增 identity()（URL 优先 → 同源 sessionStorage 兜底，命中缓存打一条 日志便于排查）、rememberIdentity()、goHome()；并在**库载入时自动采一次**身份 —— 接入方无需改代码，只要引了本库（孕检日历就引了，且它是绝对地址 + ETag 兜底， 我们改库即可自动生效），宿主注入过的身份就会被存下来。 - js/app.js：hashParam() 对 openid/unionid 两键加同样的缓存回落（其余参数不受影响）。 三条纪律（写在 wx-auth.js 顶部，改前先读）： ① URL 永远权威：URL 带 openid 就无条件覆盖缓存（否则切号/换人会串号）； ② 只在本 origin 有效：外链应用读不到，所以「跳转要带身份」的规范不能删，缓存只兜底； ③ 只存 openid/unionid（身份键），不碰 token/手机号/昵称头像。 选 sessionStorage 而非 localStorage：同一次会话内够用，且随标签页结束即失效，暴露窗口小。 验证（本地同源：/app 模拟第三方页 + /mama-box 同一 origin）： 模拟应用页自动写缓存 → 裸跳 /mama-box/ → 提示条不显示、日志出现、按缓存身份拉数据； 回归：无缓存且无身份 → 提示条照旧显示（fail-closed 保留）；URL 带身份 → 缓存被写下且不显示提示条。 --- index.html | 2 +- js/app.js | 23 ++++++++++--- js/wx-auth.js | 89 +++++++++++++++++++++++++++++++++++++++++++++++++-- 3 files changed, 107 insertions(+), 7 deletions(-) diff --git a/index.html b/index.html index 1f24c48..b9db86f 100644 --- a/index.html +++ b/index.html @@ -7,7 +7,7 @@ 兜爸心选 · 孕育陪伴 - + diff --git a/js/app.js b/js/app.js index cb7edad..581b0e8 100644 --- a/js/app.js +++ b/js/app.js @@ -3,7 +3,7 @@ (function () { 'use strict'; /* 页面版本号（YYMMDD+序号）：显示在「关于兜爸心选」页底部；bump 时同步 head 注释与 ?v= */ - var VER = '26092211'; + var VER = '26092212'; const $ = (s, c) => (c || document).querySelector(s); const $$ = (s, c) => Array.from((c || document).querySelectorAll(s)); @@ -2744,12 +2744,27 @@ ⚠️ 先在原始串上匹配、再对捕获值 decode —— 先 decode 整串会把 %26 之类的编码提前还原成 &，破坏参数切分。 ⚠️ split('?')：历史 bug 会把缓存戳粘进 openid（abc001?t=123）， - 真 openid 不含 ?，剥掉以兼容已被污染的旧链接。 */ + 真 openid 不含 ?，剥掉以兼容已被污染的旧链接。 */ try { const h = (location.hash.slice(1) || '') + '&' + (location.search.slice(1) || ''); const m = h.match(new RegExp('(?:^|[&#])' + name + '=([^&#]*)')); - return m ? decodeURIComponent(m[1]).split('?')[0] : ''; - } catch (e) { return ''; } + const v = m ? decodeURIComponent(m[1]).split('?')[0] : ''; + if (v) return v; + } catch (e) { /* 落到下面的兜底 */ } + /* 身份两键（openid/unionid）URL 没带时回落**同源缓存**： + H5 应用里「返回首页」是页面自己发起的同源跳转，宿主的 web-view src 没变、 + _applyIdentity() 不会触发，URL 上永远不会有身份（第三方应用还会主动把 + openid 从自己的 URL 上擦掉）。缓存由 wx-auth.js 的 identity() 写入 —— + 凡是引了共享库的页面（含 mama-box 自己）拿到 URL 身份时都会顺手存一份。 + 纪律（URL 永远权威、只在本 origin 有效、只存 openid/unionid）见 + js/wx-auth.js 顶部那段；命中缓存时 identity() 会打一条日志便于排查。 */ + if (name === 'openid' || name === 'unionid') { + try { + const id = (window.wxAuth && window.wxAuth.identity) ? window.wxAuth.identity() : null; + if (id && id[name]) return id[name]; + } catch (e) {} + } + return ''; } /* ---------- 身份未就绪提示（2026-09-20） ---------- 宿主（小程序首页壳）拿不到 openid 时会**匿名加载**本页 —— 页面照常渲染， diff --git a/js/wx-auth.js b/js/wx-auth.js index 0374a42..37cc82f 100644 --- a/js/wx-auth.js +++ b/js/wx-auth.js @@ -9,6 +9,8 @@ wxAuth.isAuthorized(); // 是否已授权（手机号/昵称/头像任一非空） wxAuth.requestProfile(); // 点「授权登录」→ postMessage 通知宿主页 wxAuth.goMall(); // 点「进商城」→ 跳小程序商城 tabBar 页 + wxAuth.goHome(); // 点「返回首页」→ 回 mama-box（带身份；别裸写 location.href） + wxAuth.identity(); // 读 openid/unionid（URL 优先 → 同源缓存兜底） wxAuth.watchLocation(); // 换页/路由切换自动上报当前位置 → 宿主刷新分享卡片（推荐） wxAuth.reportLocation({title}); // 手动上报一次当前页（标题/图可选） 分享卡片同步协议（location/share/setTitle/copyLink/requestProfile）见 @@ -26,6 +28,68 @@ return m ? decodeURIComponent(m[1]) : ''; } catch (e) { return ''; } } + + /* ============================================================ + 同源身份缓存 —— openid / unionid 的兜底通道（2026-09-22） + + 为什么需要：H5 应用里「返回首页」这类跳转是**页面自己发起的同源跳转**， + 宿主的 属性不变，所以宿主那条 _applyIdentity() 注入**不会触发**， + 目标页（mama-box）拿到的 URL 里没有 openid → 只能显示「身份不完整」。 + ⚠️ 而且这一跳**永远不可能带上身份**：孕检日历那类应用会把 openid/phone + 从自己的 URL 上主动擦掉（防分享链接冒名顶替，理由见它的注释）—— + 所以对第三方应用来说，这条缓存是**不改它们代码的唯一出路**。 + + 做法：mp.yizhezhe.com 下所有应用与 mama-box 是**同源**（实测在架 12 个应用 + 全在该域名），共用一份 sessionStorage。宿主注入过的身份顺手存一份， + 读取时 **URL 优先 → 缓存兜底**。 + + 三条纪律（改这个文件前先读）： + ① **URL 永远权威**：只要 URL 里带 openid 就无条件覆盖缓存 —— + 绝不做「有缓存就不读 URL」，否则切号/换人后会串号； + ② **只在本 origin 内有效**：App 表允许填外链，外链应用读不到这份缓存， + 所以「跳转要带身份」的规范不能删，缓存只是兜底； + ③ **只存 openid/unionid**（服务端身份键），不碰 token / 手机号 / 昵称头像。 + 存 sessionStorage 而不是 localStorage：报告的场景都在同一次会话内， + sessionStorage 够用，且随标签页结束就没了，暴露窗口小得多。 + ============================================================ */ + var ID_KEY = 'mmbox.identity'; + var ID_TTL = 12 * 3600 * 1000; // 12h：sessionStorage 本就随会话结束，这层防的是长驻旧值 + function rememberIdentity(oid, uid) { + if (!oid) return; + try { + sessionStorage.setItem(ID_KEY, JSON.stringify({ openid: oid, unionid: uid || '', at: Date.now() })); + } catch (e) { /* 隐私模式等：静默，不影响主流程 */ } + } + function cachedIdentity() { + try { + var c = JSON.parse(sessionStorage.getItem(ID_KEY) || 'null'); + if (!c || !c.openid) return null; + if (c.at && (Date.now() - c.at) > ID_TTL) return null; + return c; + } catch (e) { return null; } + } + /* 读身份：URL 优先 → 缓存兜底。命中缓存时打一条日志（口径见接入规范第 5 节： + 缓存会掩盖「宿主没注入身份」这个本来会显性提示的信号，所以留痕便于排查）。 */ + function identity() { + /* ⚠️ 与 mama-box 的 hashParam 同款护栏：历史 bug 会把缓存戳粘进 openid + （abc001?t=123），真 openid 不含 ?，剥掉以兼容被污染的旧链接。 */ + var oid = String(readHash('openid') || '').split('?')[0]; + var uid = String(readHash('unionid') || '').split('?')[0]; + if (oid) { rememberIdentity(oid, uid); return { openid: oid, unionid: uid, from: 'url' }; } + var c = cachedIdentity(); + if (c) { + try { + console.log('[wxAuth] URL 未带身份 → 用同源缓存兜底：openid=' + c.openid + + (c.unionid ? ' unionid=' + c.unionid : '') + '（写入于 ' + new Date(c.at).toLocaleTimeString() + '）'); + } catch (e) {} + return { openid: c.openid, unionid: c.unionid || '', from: 'cache' }; + } + return { openid: '', unionid: '', from: 'none' }; + } + /* 载入即采一次：**接入方不需要改任何代码** —— 只要页面引了本库， + 宿主注入过的身份就会被存下来（孕检日历那类第三方应用正是靠这一条自己存下身份的）。 */ + (function captureAtLoad() { try { identity(); } catch (e) {} })(); + var wxAuth = { MODE: 'browser', // 'webview' | 'wechat-browser' | 'browser' inWebview: false, @@ -146,13 +210,34 @@ this.toast('请在小程序中打开商城'); } }, - /* ⑥ 展示授权结果到指定元素（可选便捷方法） */ + /* ⑥ 读当前身份（openid/unionid）：URL 优先 → 同源缓存兜底。 + 返回 {openid, unionid, from:'url'|'cache'|'none'}。 + 用途：本页自己也需要 openid 时（请求后端、拼跳转链接）统一走它， + 顺带把身份写进缓存 —— 别在各应用里各写一份读参数的代码。 */ + identity: identity, + /* 手动把身份写进缓存（一般不用调：URL 带身份时 identity() 已自动写）。 + 场景：授权回传后身份只在 hash 里出现一次，若随后要清 URL（防分享泄露）， + 可先调它存一份。 */ + rememberIdentity: rememberIdentity, + /* ⑦ 回 mama-box 首页（H5 方式）。带身份：URL 优先，其次缓存。 + ⚠️ 「返回首页」这类跳转**不要**裸写 location.href='/mama-box/' —— + 宿主不会因此重新注入身份（web-view src 没变），目标页会显示「身份不完整」， + 而重试也救不回来。要么调本方法，要么保证链接带上 openid/unionid。 + （第三方应用改不了的话，靠 identity() 的缓存兜底也能让首页认出人来。） */ + goHome: function () { + var id = identity(); + var q = id.openid + ? '?openid=' + encodeURIComponent(id.openid) + (id.unionid ? '&unionid=' + encodeURIComponent(id.unionid) : '') + : ''; + location.href = 'https://mp.yizhezhe.com/mama-box/' + q; + }, + /* ⑧ 展示授权结果到指定元素（可选便捷方法） */ fillAuth: function (nameEl, avatarEl) { var a = this.readAuth(); if (nameEl && a.nickname) nameEl.textContent = a.nickname; if (avatarEl && a.avatar) avatarEl.src = a.avatar; }, - /* ⑦ 上报"当前在哪一页"（分享状态同步，不弹 toast、可频繁调用）。 + /* ⑨ 上报"当前在哪一页"（分享状态同步，不弹 toast、可频繁调用）。 为什么需要：web-view 里的 H5 不能自己拉起分享面板，转发卡片由小程序宿主页产出； 宿主只有 onShareAppMessage(options).webViewUrl 能拿到当前地址，而 onShareTimeline（朋友圈）**没有回调参数**；首页壳又不会随 H5 换页重新 onLoad。