网页双签名并唤起小红书分享

// Node.js 22，保存为 share-server.mjs 后执行 node share-server.mjs。
// 本示例仅绑定本机 127.0.0.1:3100。真正手机测试需迁移到自己的获准 HTTPS 应用域名。
import { createServer } from 'node:http';
import { createHash, randomBytes } from 'node:crypto';
const appKey = process.env.XHS_SHARE_APP_KEY;
const appSecret = process.env.XHS_SHARE_APP_SECRET;
const media = process.env.XHS_SHARE_IMAGE_URL;
if (!appKey || !appSecret || !media) throw new Error('缺少分享平台 appKey、appSecret 或图片 URL');
if (new URL(media).protocol !== 'https:') throw new Error('请使用自己有权分享且可公开读取的 HTTPS 图片');
function signature(nonce, timestamp, secret) {
  // 严格对应官方 Java 工具：键名 ASCII 排序后拼原始值，末尾直接追加 secret。
  // timeStamp 的 S 大写；这是 SHA-256，不是 HMAC，也不进行 URL 转义。
  const values = { appKey, nonce, timeStamp: String(timestamp) };
  const base = Object.keys(values).sort().map(k => `${k}=${values[k]}`).join('&') + secret;
  return createHash('sha256').update(base, 'utf8').digest('hex');
}
let cached = null;
let pending = null;
async function accessToken() {
  if (cached && cached.expiresAt > Date.now() + 60000) return cached.token;
  if (pending) return pending;
  pending = (async () => {
    const nonce = randomBytes(16).toString('hex');
    const timestamp = Date.now();
    const response = await fetch('https://edith.xiaohongshu.com/api/sns/v1/ext/access/token', {
      method: 'POST', redirect: 'error', signal: AbortSignal.timeout(20000),
      headers: { 'Content-Type': 'application/json' },
      body: JSON.stringify({ app_key: appKey, nonce, timestamp,
        signature: signature(nonce, timestamp, appSecret) }),
    });
    if (!response.ok) throw new Error(`分享凭证 HTTP ${response.status}`);
    const result = await response.json();
    // 官方文档列出 token 字段，未给统一外层报文；兼容直接字段或 data 包装，缺项则失败。
    if (result.success === false || (Object.hasOwn(result, 'code') && result.code !== 0)) {
      throw new Error('分享平台拒绝凭证请求，请核对获准应用与签名');
    }
    const data = result.data ?? result;
    const expiresAt = Number(data.expires_in); // 官方是截止时间戳（毫秒），不是剩余秒数。
    if (typeof data.access_token !== 'string' || !data.access_token ||
        !Number.isFinite(expiresAt) || expiresAt <= Date.now() + 60000) {
      throw new Error('分享凭证字段缺失或已过期，不生成前端签名');
    }
    cached = { token: data.access_token, expiresAt };
    return cached.token;
  })();
  try { return await pending; } finally { pending = null; }
}
const imageJSON = JSON.stringify(media).replaceAll('<', '\\u003c');
const html = `<!doctype html><html lang="zh-CN"><meta charset="utf-8">
<meta name="viewport" content="width=device-width,initial-scale=1">
<title>用户主动分享到小红书</title>
<button id="share">分享到小红书</button><p id="status" role="status"></p>
<script src="https://fe-static.xhscdn.com/biz-static/goten/xhs-1.0.1.js"></script>
<script>
const button = document.querySelector('#share');
const status = document.querySelector('#status');
button.onclick = async () => {
  button.disabled = true;
  try {
    if (!window.xhs || typeof window.xhs.share !== 'function') throw new Error('官方 SDK 未加载');
    const res = await fetch('/share-config', { cache: 'no-store' });
    if (!res.ok) throw new Error('获取分享配置失败');
    const verifyConfig = await res.json();
    status.textContent = '已请求唤起；请在小红书 App 内检查内容并自行完成发布';
    window.xhs.share({ shareInfo: { type: 'normal', images: [${imageJSON}] }, verifyConfig,
      fail: () => { status.textContent = '分享唤起失败，请检查客户端、应用审核和配置'; } });
  } catch (error) { status.textContent = error.message; }
  finally { button.disabled = false; }
};
</script></html>`;
const server = createServer(async (req, res) => {
  // 生产部署需加入自己的用户会话校验、请求限流与可信来源校验，不能做公开任意签名代理。
  res.setHeader('Cache-Control', 'no-store');
  res.setHeader('X-Content-Type-Options', 'nosniff');
  if (req.method !== 'GET') { res.writeHead(405); res.end(); return; }
  if (req.url === '/') { res.setHeader('Content-Type', 'text/html;charset=utf-8'); res.end(html); return; }
  if (req.url !== '/share-config') { res.writeHead(404); res.end(); return; }
  try {
    const token = await accessToken();
    const nonce = randomBytes(16).toString('hex');
    const timestamp = String(Date.now());
    // 第二次签名的 secret 用 access_token，绝不能再次使用 appSecret。
    const config = { appKey, nonce, timestamp, signature: signature(nonce, timestamp, token) };
    res.setHeader('Content-Type', 'application/json;charset=utf-8');
    res.end(JSON.stringify(config)); // 不向前端输出 appSecret 或 access_token。
  } catch {
    res.writeHead(502, { 'Content-Type': 'application/json;charset=utf-8' });
    res.end(JSON.stringify({ error: '分享配置生成失败，请在服务端检查应用和签名' }));
  }
});
server.listen(3100, '127.0.0.1', () => console.log('本机示例：http://127.0.0.1:3100/'));