需配置应用凭证与权限、实现webhook/api消息推送、处理http回调事件验签解密、集成免登授权获取审批数据。
如果您在ThinkPHP6.x项目中集成钉钉企业内部应用，需同时支持向员工推送消息及接收审批类事件回调，则可能因签名验证失败、加解密逻辑缺失或路由未正确暴露导致功能中断。以下是解决此问题的步骤：
一、配置应用凭证与权限
需在钉钉开发者后台完成企业内部应用的基础注册，并明确开通对应API权限，确保服务端可合法调用接口及接收加密回调数据。
1、登录钉钉开放平台，进入“企业内部应用”创建新应用，填写名称、描述与图标。
2、在“基础信息”页获取AppKey与AppSecret，并记录应用加解密Key（用于回调解密）和Token（用于签名验证）。
3、进入“权限管理”，申请以下权限：通讯录-读取部门信息、通讯录-读取员工信息、审批-发起审批实例、审批-查询审批实例、事件订阅-审批实例状态变更。
4、在“开发管理”→“事件订阅”中启用HTTP回调，填写回调URL（如https://yourdomain.com/api/dingtalk/callback），并勾选“审批实例状态变更”事件。
二、实现钉钉消息推送（Webhook方式）
使用钉钉自定义机器人Webhook地址发送轻量级通知，适用于非敏感、非身份绑定的群内提醒场景，无需access_token，部署快捷。
1、在钉钉管理后台“智能工作”→“机器人”中添加自定义机器人，选择目标群组，复制生成的Webhook地址（含access_token参数）。
2、在ThinkPHP6中创建app\service\DingTalkRobotService.php，封装Curl请求逻辑，构造JSON格式的text或markdown类型消息体。
3、调用示例代码中设置CURLOPT_SSL_VERIFYPEER => false（仅测试环境），生产环境需配置CA证书路径。
4、发送时携带timestamp与sign签名参数，其中sign由sha256(时间戳+"\n"+密钥)生成，避免Webhook被非法调用。
三、实现钉钉消息推送（API方式）
通过钉钉服务端API调用/v1.0/im/bot/messages/send或/v1.0/robot/oToMessages/send，支持定向发送至指定用户或部门，需先获取有效access_token。
1、在app\service\DingTalkApiService.php中封装access_token缓存逻辑，使用ThinkPHP6的Cache门面存储，有效期设为7100秒（预留100秒容错）。
2、调用https://api.dingtalk.com/v1.0/oauth2/accessToken接口，以POST方式提交JSON格式的appKey与appSecret，解析响应提取accessToken字段。
3、构造消息体时，指定robotCode（机器人编码）与userIdList（目标用户ID数组），消息类型设为text或interactive。
4、使用think\facade\Http发起POST请求，Header中设置Authorization: Bearer {accessToken}，Body为UTF-8编码JSON字符串。
四、处理审批回调事件（HTTP推送）
钉钉将审批状态变更事件以AES加密+SHA256签名方式推送至配置的回调URL，服务端必须完成验签、解密、响应ACK三步，否则钉钉将停止重试推送。
1、在app\controller\Api\DingTalkController.php中定义callback方法，仅接受POST请求，禁止GET访问。
2、从$_POST['encrypt']提取密文，从$_GET['msg_signature']、$_GET['timestamp']、$_GET['nonce']获取签名三要素。
3、使用openssl_encrypt与PKCS7填充方式，以应用加解密Key对encrypt进行AES-128-CBC解密，得到原始JSON明文。
4、验证签名：将Token、timestamp、nonce、解密后的msg按字典序拼接后SHA256哈希，比对是否等于msg_signature。
5、解密成功后，解析JSON中的EventType为bpms_instance_change，提取processInstanceId、status、result等字段写入数据库。
6、返回标准响应：{"msg":"success"}，HTTP状态码200，响应体不含空格与换行。
五、处理审批回调事件（事件订阅+免登授权）
当需在审批流中嵌入业务系统页面（如审批详情页），需结合免登授权码换取用户身份，并通过bpms/processinstance/get接口拉取完整审批数据，实现深度集成。
1、在钉钉前端JS SDK中调用dd.runtime.permission.requestAuthCode获取临时authCode，通过AJAX传至ThinkPHP6后端。
2、后端调用https://oapi.dingtalk.com/sns/get_persistent_code换取persistent_code，再调用https://oapi.dingtalk.com/sns/get_sns_token获取sns_token。
3、使用sns_token调用https://oapi.dingtalk.com/sns/get_user_info_bycode，获得userid与unionid。
4、携带全局access_token与processInstanceId，调用https://oapi.dingtalk.com/topapi/bpms/processinstance/get，获取包含表单值、审批人、操作日志的完整结构化数据。
5、将返回的formComponentValues字段反序列化为键值对，映射至业务数据库审批记录表对应字段。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
