wxpusher-docs issues

接口 [/api/fun/remove] 出现异常：Optional long parameter 'id' is present but cannot be translated into a null value due to being declared as a primitive type. Consider declaring it as object wrapper...

Bargetor

微信点击推送的信息 http://wxpusher.zjiecode.com/api/message/xxxx 详情链接被劫持植入广告

建议把新工单通知的查看详情的链接改为https协议

rubnet

如果发送不同类型消息

sdk默认模版消息发送，如何指定消息类型发送普通发送 | 带链接的消息 | 长文本消息

CrazyRico

几个疑惑

1

1.用户扫描带参数的二维码,关注关注之后,没有用户关注提示 ,后台已设置 2.可否一次关注多个topic,并增加回调 3.怎样获取主题的订阅状态

yhuaqiang

我们（记为A）接收上行消息时，为了保证安全，有时需要确保该消息是wxpusher（记为B）推送的。比如“发送指令重启服务”的情况，不仅要保证该用户是已知的管理员用户，还要保证该POST的请求来源是wxpusher，而不是第三方。建议wxpusher后台回调时增加一个签名（使用消息内容和appToken），这样只要第三方拿不到token，就无法伪造请求来源。具体的实现方法，个人想法是： * B回调A时，在POST请求头中增加一个`sign`字段，该字段为`整条JSON内容 + "-" + appToken`用某种散列算法（`MD5`或者`SHA1`或者其他的算法）（记为`hash(...)`）进行签名 * A收到请求时，分两种情况： * 如果该回调地址只有一个app使用，则直接计算`hash(整条JSON内容 + "-" + appToken)`与`sign`比较，如果不相同则丢弃消息，相同则继续处理； * 如果有多个app使用同一个回调地址，则先解析消息内容得到`appId`，然后查得相应的`appToken`，再进行上面的处理 * 如果要防止重放攻击，A要进行额外的判断，如： * 整条消息是否在之前的x分钟内重复过？（只需判断sign是否重复过） * `time`字段和本地时间之差，是否在合理区间内？（小于x分钟）这样既不会破坏旧的协议，也可以增加回调的安全性。希望这个建议能被采纳。

AlexGuo1998