wx-gateway

多业务方共用一个 access_token:为什么必须 pg_advisory_xact_lock

症状

业务方上线第一天:扫码登录有时正常、有时 40001 invalid credential。日志里多个业务方的 cron 在同一秒去刷 /cgi-bin/token,每次刷新都把上一个调用者的 token 瞬间作废。客服每周收 3 起"登不上"工单。

根因

微信公众号同 AppID 只存一份 access_token — 这是微信侧的硬约束,文档没写"并发不安全",但只要两个进程同时调 cgi-bin/token,后调的返回会让先调的那份立刻失效。在 N 个业务方各自 cron 续期的世界里,这不是概率问题,是必然问题。

修法

(1) 网关独占 cgi-bin/token,业务方一律 HMAC GET /internal/wx-token 取。(2) 网关内部 100 分钟 cron 主动续期;首次 fetch 与 cron 并发用 Postgres advisory 事务锁串行化。(3) 用 $executeRaw 而非 $queryRaw — advisory_lock 返 void,Prisma 拿 void 会抛(fb7441b)。

commit

d6f2c1c 上线 · fb7441b 改 $executeRaw · 9752488 后续把 INTERNAL_TOKEN_SECRET 共享密钥进一步拆成 per-app HMAC,失陷不连坐。

// lib/internal-auth/wx-token.ts — 拿 token 必经此路
await prisma.$executeRaw`SELECT pg_advisory_xact_lock(${LOCK_KEY_WX_TOKEN})`
const cached = await prisma.wxAccessTokenCache.findUnique({...})
if (cached && cached.expiresAt > new Date(Date.now() + 5 * 60_000)) return cached
// 否则 fetch /cgi-bin/token 并 upsert · 整个事务持锁,并发 fetch 自动串行