QQ临时会话代码如何生成与解析？

Question

如何生成并解析QQ临时会话的加密代码？在实现网页或App端与QQ用户的临时会话时，常需通过`mqqapi://im/chat?chat_type=temp&uin=xxxx&refer=xxx`等URI Scheme触发客户端。该过程中，临时会话代码通常由腾讯服务器基于用户身份（如访客UID）、目标QQ号、时间戳及签名算法动态生成。常见问题包括：生成的链接无法唤起QQ客户端、提示“请求参数错误”或会话失效。其核心在于未正确构造refer参数或缺失必要的Token验证。此外，反向解析该代码时，需提取并解码其中的加密字段（如加密UIN），但腾讯未公开具体加解密逻辑，导致第三方难以完整解析。开发者常通过抓包分析模拟生成有效链接，但面临频繁变更的风险。如何稳定生成并逆向解析QQ临时会话代码成为实际集成中的关键技术难点。

Answer 1

一、QQ临时会话机制基础：URI Scheme与客户端唤起原理

在实现网页或App端与QQ用户的临时会话时，核心依赖于腾讯提供的URI Scheme协议：mqqapi://im/chat?chat_type=temp&uin=xxxx&refer=xxx。该链接通过操作系统层面的Intent（Android）或Custom URL Scheme（iOS）触发本地安装的QQ客户端。

当用户点击该链接时，系统尝试匹配已注册的应用协议。若设备中存在QQ应用且版本支持，则启动并解析参数，跳转至指定用户的聊天窗口。其中关键参数包括：

• chat_type=temp：标识为临时会话模式
• uin=目标QQ号：接收方账号
• refer=加密标识符：携带访客身份及验证信息

然而，并非所有构造的链接都能成功唤起会话。常见失败提示如“请求参数错误”、“会话已失效”等，往往源于refer字段构造不当或缺少必要的Token校验机制。

参数名	说明	是否必需	示例值
chat_type	会话类型，固定为temp	是	temp
uin	目标QQ号码	是	123456789
refer	加密引用标识，含签名和访客信息	是	eJyrVkpMMjQzVjIwN...
source	来源标记（可选）	否	web

二、refer参数深度剖析：结构组成与生成逻辑

refer参数是整个临时会话安全体系的核心。它通常由腾讯服务器基于以下要素动态生成：

1. 访客唯一标识（Visitor UID）
2. 目标QQ号（Target UIN）
3. 时间戳（Timestamp）
4. 随机Nonce
5. 私钥签名（HMAC-SHA256或其他）

实际抓包分析表明，refer内容多为Base64编码后的压缩数据（如zlib压缩后Base64），内部可能包含序列化结构体或JSON片段。例如：

// 假设原始数据结构
{
  "uid": "visitor_abc123",
  "target": "123456789",
  "ts": 1712045678,
  "nonce": "xyz789",
  "sig": "a1b2c3d4e5..."
}

经过zlib压缩 + Base64编码后形成最终refer字符串。由于腾讯未公开具体算法流程，第三方只能通过逆向工程模拟生成过程。

三、签名与Token验证机制：防止伪造的关键防线

腾讯对临时会话链接实施了严格的防刷机制。仅构造正确格式不足以保证可用性，必须通过服务端签名校验。

典型验证流程如下所示：

graph TD A[前端发起会话请求] --> B{服务端验证权限} B -->|通过| C[生成refer数据包] C --> D[zlib压缩原始结构] D --> E[HMAC-SHA256签名] E --> F[Base64编码输出refer] F --> G[返回完整mqqapi链接] G --> H[客户端点击唤起QQ]

若缺失有效的Token（如OAuth token、登录态cookie）或签名密钥泄露，生成的refer将无法通过QQ客户端校验，导致“参数错误”。

四、逆向解析实践：从抓包到模拟生成

面对加密refer字段，开发者常采用中间人抓包方式获取合法样本。常用工具包括Charles Proxy、Fiddler、mitmproxy等。

解析步骤一般如下：

1. 使用安卓模拟器运行QQ浏览器访问官方客服页
2. 捕获mqqapi链接中的refer值
3. Base64解码 → 尝试zlib/inflate解压
4. 分析明文结构（可能是Protobuf、JSON或自定义二进制）
5. 提取签名算法特征（头部标志位、尾部MAC）

部分研究者发现某些refer以特定字节开头（如0x78 0x9C，表示zlib标准压缩），进一步佐证其压缩+编码模型。

五、稳定性挑战与应对策略

腾讯频繁更新其加解密逻辑，导致依赖逆向工程的方案极易失效。以下是几种增强稳定性的工程实践：

策略	描述	风险等级
代理中转服务	调用腾讯官方接口生成refer	低
自动化抓包监控	定期采集有效refer更新模板	中
混合加密模拟	结合多种压缩/编码组合试探	高
灰度发布机制	新refer模板先小范围测试	低
降级方案	失败时引导用户手动复制QQ号	无

建议优先使用腾讯开放平台提供的官方API（如企业QQ、智能客服接口）替代自行构造临时会话链接，以确保长期可用性。