获取小程序凭证并生成线上二维码

// Node.js 22；保存为 token.mjs，执行 node token.mjs。
import { open, unlink } from 'node:fs/promises';
const appid = process.env.XHS_MINI_APPID;
const secret = process.env.XHS_MINI_SECRET;
if (!appid || !secret) throw new Error('缺少 XHS_MINI_APPID 或 XHS_MINI_SECRET');
// 排他创建文件作为本机锁：已有文件时在发请求前停止，避免无谓刷新旧 token。
const cacheFile = await open('xhs-mini-token.json', 'wx', 0o600);
try {
const response = await fetch('https://miniapp.xiaohongshu.com/api/rmp/token', {
  method: 'POST', redirect: 'error', signal: AbortSignal.timeout(20000),
  headers: { 'Content-Type': 'application/json' },
  body: JSON.stringify({ appid, secret }),
});
if (!response.ok) throw new Error(`HTTP ${response.status}，不保存凭证`);
const result = await response.json();
if (result.success !== true || result.code !== 0) {
  throw new Error(`小程序凭证获取失败 code=${result.code}，请按官方错误表排查`);
}
const token = result.data?.access_token;
const seconds = Number(result.data?.expire_in);
if (typeof token !== 'string' || !token || !Number.isFinite(seconds) || seconds <= 0) {
  throw new Error('凭证响应结构不完整，不覆盖已有缓存');
}
// 仅用于本机手册演示；生产环境应使用受保护的集中缓存和单实例刷新。
// wx/分享/电商 token 均不能放入此文件。限制文件权限，避免被静态服务器发布。
await cacheFile.writeFile(JSON.stringify({ appid, access_token: token,
  expires_at: Date.now() + seconds * 1000 }));
console.log('已写入 xhs-mini-token.json；文件已存在时会拒绝覆盖，先检查旧凭证与刷新并发。');
} catch (error) {
  // 只清理本次排他创建但未成功填充的文件，不删除原有缓存。
  await cacheFile.close();
  await unlink('xhs-mini-token.json');
  throw error;
} finally { await cacheFile.close(); }

// Node.js 22；保存为 qrcode.mjs，执行 node qrcode.mjs。
import { readFile, writeFile } from 'node:fs/promises';
const saved = JSON.parse(await readFile('xhs-mini-token.json', 'utf8'));
const appid = process.env.XHS_MINI_APPID;
if (!appid || saved.appid !== appid || !saved.access_token || !(saved.expires_at > Date.now() + 60000)) {
  throw new Error('缺少同应用有效 token；先按上一步刷新并安全更新凭证缓存');
}
const scene = process.env.XHS_MINI_SCENE || 'offline_20261015';
const page = process.env.XHS_MINI_PAGE || 'pages/index/index';
const width = 430;
if (!/^[A-Za-z0-9._~-]{1,32}$/.test(scene)) throw new Error('scene 必须为 1–32 个允许字符');
if (page.startsWith('/') || page.includes('?') || page.includes('#')) throw new Error('page 不带首斜杠、query 或 hash');
const url = new URL('https://miniapp.xiaohongshu.com/api/rmp/qrcode/unlimited');
url.searchParams.set('appid', appid);
url.searchParams.set('access_token', saved.access_token);
const response = await fetch(url, { method: 'POST', redirect: 'error',
  signal: AbortSignal.timeout(20000), headers: { 'Content-Type': 'application/json' },
  body: JSON.stringify({ scene, page, width }) });
const bytes = Buffer.from(await response.arrayBuffer());
const mime = (response.headers.get('content-type') || '').split(';')[0].trim().toLowerCase();
if (!response.ok) throw new Error(`HTTP ${response.status}，不写图片`);
if (mime !== 'image/png') {
  let code = 'UNKNOWN';
  try { code = JSON.parse(bytes.toString('utf8')).code ?? code; } catch {}
  throw new Error(`未返回 PNG，可能为业务错误 code=${code}；不把 JSON 保存成图片`);
}
const pngHeader = Buffer.from([137, 80, 78, 71, 13, 10, 26, 10]);
if (bytes.length < 8 || !bytes.subarray(0, 8).equals(pngHeader)) throw new Error('PNG 文件头校验失败');
await writeFile('xhs-mini-qrcode.png', bytes, { flag: 'wx', mode: 0o600 });
console.log('已保存 xhs-mini-qrcode.png；用小红书 App 扫码验证真实落地页和 scene。');