SpringBoot微信公众号实现发送验证码登录功能（全流程详解+源码）

<dependencies>
    <!-- 简化代码 -->
    <dependency>
        <groupId>org.projectlombok</groupId>
        <artifactId>lombok</artifactId>
        <optional>true</optional>
    </dependency>
    <!-- XML 解析 -->
    <dependency>
        <groupId>org.dom4j</groupId>
        <artifactId>dom4j</artifactId>
        <version>2.1.3</version>
    </dependency>
    <!-- 签名加密 -->
    <dependency>
        <groupId>commons-codec</groupId>
        <artifactId>commons-codec</artifactId>
    </dependency>
    <!-- Hutool 工具包 -->
    <dependency>
        <groupId>cn.hutool</groupId>
        <artifactId>hutool-all</artifactId>
        <version>5.8.16</version>
    </dependency>
</dependencies>

server.port=8080
# 微信公众号Token，请确保与微信后台配置一致
wechat.token=mySecretToken

@Slf4j
@RestController
@RequestMapping("/wx")
public class CallBackController {

    @Value("${wechat.token}")
    private String token; // 读取配置文件

    // 使用 Hutool 的 TimedCache，自动管理过期，无需手动清理！
    // Key: 验证码, Value: 用户OpenID
    public static final TimedCache<String, String> LOGIN_CACHE = CacheUtil.newTimedCache(300 * 1000); // 5分钟

    static {
        LOGIN_CACHE.schedulePrune(1000); // 每秒检查一次过期
    }

    /**
     * 1. 服务器验证接口 (GET)
     * 微信后台点击“提交”时调用，用于确认服务器身份。
     */
    @GetMapping("/callback")
    public String verify(@RequestParam(name = "signature", required = false) String signature,
                         @RequestParam(name = "timestamp", required = false) String timestamp,
                         @RequestParam(name = "nonce", required = false) String nonce,
                         @RequestParam(name = "echostr", required = false) String echostr) {
        
        // 1. 参数校验（防御性编程）
        if (signature == null || timestamp == null || nonce == null || echostr == null) {
            return "fail";
        }

        // 2. 签名校验 (安全核心)
        // 将 token、timestamp、nonce 字典排序并 SHA1 加密
        String sha1 = SHA1.getSHA1(token, timestamp, nonce); 
        
        // 3. 比对成功，原样返回 echostr
        if (sha1 != null && sha1.equals(signature)) {
            return echostr;
        }
        return "fail";
    }

    /**
     * 2. 消息接收接口 (POST)
     * 用户发送消息时，微信会将 XML 推送到这里。
     */
    @PostMapping(value = "/callback", produces = "application/xml;charset=UTF-8")
    public String handleMessage(@RequestBody String requestBody,
                                @RequestParam("signature") String signature,
                                @RequestParam("timestamp") String timestamp,
                                @RequestParam("nonce") String nonce) {
        
        // 同样需要验签，防止黑客伪造请求
        if (!SHA1.checkSignature(token, timestamp, nonce, signature)) {
            return ""; 
        }

        // 解析 XML
        Map<String, String> msgMap = MessageUtil.parseXml(requestBody);
        String fromUser = msgMap.get("FromUserName"); // 用户 OpenID
        String toUser = msgMap.get("ToUserName");     // 公众号 ID
        String content = msgMap.get("Content");       // 消息内容

        // 业务逻辑：用户回复 "验证码"
        if ("text".equals(msgMap.get("MsgType")) && "验证码".equals(content)) {
            // 生成 6 位纯数字验证码
            String code = RandomUtil.randomNumbers(6);
            
            // 存入缓存
            LOGIN_CACHE.put(code, fromUser);
            
            // 构造回复 XML
            // 注意：回复时，发送人是公众号(toUser)，接收人是用户(fromUser)
            return MessageUtil.textMessageToXml(fromUser, toUser, 
                "您的验证码是：" + code + "\n有效期为5分钟。");
        }
        
        return MessageUtil.textMessageToXml(fromUser, toUser, "回复 '验证码' 获取登录验证码。");
    }
}

public class SHA1 {
    public static String getSHA1(String token, String timestamp, String nonce) {
        String[] arr = new String[]{token, timestamp, nonce};
        Arrays.sort(arr); // 1. 字典序排序
        StringBuilder sb = new StringBuilder();
        for (String s : arr) sb.append(s);
        return DigestUtils.sha1Hex(sb.toString()); // 2. SHA1 加密 (一行代码搞定!)
    }
    
    // 封装校验逻辑
    public static boolean checkSignature(String token, String timestamp, String nonce, String signature) {
        String sha1 = getSHA1(token, timestamp, nonce);
        return sha1 != null && sha1.equals(signature);
    }
}

public static String textMessageToXml(String toUserName, String fromUserName, String content) {
    return "<xml>" +
            "<ToUserName><![CDATA[" + toUserName + "]]></ToUserName>" +
            "<FromUserName><![CDATA[" + fromUserName + "]]></FromUserName>" +
            "<CreateTime>" + System.currentTimeMillis() / 1000 + "</CreateTime>" +
            "<MsgType><![CDATA[text]]></MsgType>" +
            "<Content><![CDATA[" + content + "]]></Content>" +
            "</xml>";
}

<!-- 核心代码片段 -->
<div class="login-box">
    <!-- 请替换为你自己的二维码图片 -->
    <img src="你的公众号二维码.jpg" alt="扫码关注">
    <p>关注回复 <b>"验证码"</b> 获取登录码</p>
    
    <input type="text" id="code" placeholder="输入6位验证码">
    <button onclick="doLogin()">登录</button>
</div>

<script>
function doLogin() {
    let code = document.getElementById("code").value;
    // 调用后端接口
    fetch('/login?code=' + code)
        .then(res => res.text())
        .then(data => {
            if(data.includes("成功")) {
                alert("登录成功！OpenID: " + data);
                location.href = "/success.html";
            } else {
                alert(data);
            }
        });
}
</script>