微信公众平台接入 about weixin-popular

[liyiorg]

是一样的

[yangqinglei26]

 //首次请求申请验证,返回echostr
        if(echostr!=null){
            outputStreamWrite(outputStream,echostr);
            return;
        }

        //验证请求签名
        if(!signature.equals(SignatureUtil.generateEventMessageSignature(token,timestamp,nonce))){
            System.out.println("The request signature is invalid");
            return;
        }

应该先验证签名确认它是来源于微信的请求，再返回echostr

[liyiorg]

只有配置完后的第一次请求会有 echostr 参数数据, 不管是微信官方或非法请求，有这个字段都直接返回，并不影响之后请求的签名校验以及安全性。如对安全性要求比较高的话，使用加密配置，参考 ReceiveServlet2 。

[linzea]

哈哈哈，我就用的这个啊，没问题，而且我选的是加密那种，微信后台加密模式选了兼容模式