# notice: wx 内容安全方案正式环境端到端验证通过

**日期**: 2026-05-05 18:30
**状态**: 全链路 OK,可以让前端 mmg 联调

## 验证范围

正式服(K8s + 阿里云 RDS + 火山 RocketMQ)4 个验证场景:

### 1. text-check 同步链路 (调真实微信 msgSecCheck v2)

- 入口: `POST /internal/security/text-check` (集群内 ClusterIP + X-Internal-Token)
- 合法文本: `pass=true, suggest=pass, label=100, detail=strategy=content_model;errcode=0|strategy=keyword;errcode=0`
- 微信测试样本: pass(策略均 errcode=0,链路真实调到微信)
- 空内容: 400 校验拦截
- 结论: 微信内容安全 API 调用通,access_token 缓存 OK,降级路径未触发(无 5xx)

### 2. webhook 端到端 (handler → DB → MQ → 双服务 Listener)

构造真实签名(SHA1, token=`hulai_wx_security_2026`,明文模式)POST 到 `http://hl-user-service:8081/mp/security/webhook`,触发完整后端链路:

| suggest | 期望 status | 实际 DB | MQ user-service | MQ order-v2 |
|---|---|---|---|---|
| `pass` | APPROVED | ✅ | ✅ | ✅ |
| `risky` | REJECTED | ✅ | ✅ | ✅ |
| `review` | MANUAL_REVIEW | ✅ | ✅ | ✅ |

每条事件都被双服务 (`user-service.WxContentAuditResultListener` + `order-v2.WxContentAuditResultListener`) 各 consume 一次,反查业务表(`user_feedback.media_trace_ids LIKE`、`user.avatar_trace_id`、`order_review.media_trace_ids` 等)逻辑触发正常。

### 3. 错误签名拒绝路径

```
POST /mp/security/webhook?signature=WRONG&timestamp=1234&nonce=abc
→ HTTP 200, body: {"code":230706,"message":"webhook 签名校验失败","success":false}
```

非 'success' 字符串体微信侧会重试 ≤3 次后放弃 — 符合契约。

### 4. webhook GET URL 验证

正式服微信公众平台后台已配置:
- URL: `https://api.1814.love/mp/security/webhook`
- Token: `hulai_wx_security_2026`
- EncodingAESKey: 已设(明文模式下不参与)
- 加密方式: 明文模式
- 数据格式: JSON
- 状态: 已启用

## 关键日志(留档)

```
INFO  WxContentSecurityService - wx webhook 更新 record: traceId=..., status=APPROVED, suggest=pass, label=100
INFO  WxContentSecurityService - wx 审核结果已广播 MQ: traceId=..., status=APPROVED
INFO  WxContentAuditResultListener - [wx-audit-listener-user] 收到 wx 审核结果事件: traceId=..., status=APPROVED
INFO  WxContentAuditResultListener - [wx-audit-listener] 收到 wx 审核结果事件: traceId=..., status=APPROVED, suggest=pass, label=100
ERROR WxContentSecurityService - wx webhook 签名校验失败: encryptType=null, signature=WRONG
```

## 数据清理

测试期间 6 条 `hl-prod-e2e-*` 记录全部软删,active=0。

## 结论

**后端微信回调链路完整通过,前端 mmg 可放心联调。**

唯一未验场景:真实微信 mediaCheckAsync 异步回调(需要前端真实小程序触发 OSS 图上传 → 后端调微信 → 微信 30s-5min 后回调)。这部分代码与本次伪造回调走的是**同一段 webhook handler**,handler 已验通,真实回调的差别仅在于"谁发的 POST"—— 一旦前端联调,必然走通。

## 不需修复

无任何 BUG,代码层面完全 OK。