fix: 修复 w_rid 计算漏洞

[Drelf2018]

• 还有 mixin_key 可能出现的下标越界
• wts也要参与计算
• user.get_user_info() 函数参数修正

是不是所有函数参数都要重写啊晕了

[Drelf2018]

考虑写一个根据库中 data 里 json 自动转 python 函数的脚本。

[z0z0r4]

只要 wts 和 wrid 就行了，我记得

只是加个排序而已？

[z0z0r4]

不用改参数吧

[z0z0r4]

只要加个 sorted 就可以了吧？

[Drelf2018]

不用改参数吧

例如 get_user_info() 原先代码

params = {"mid": self.__uid}
# 计算结果 {'mid': 434334701, 'wts': 1684894570, 'w_rid': 'd497848c7609eed670d61714b56c853f'}

实际结果

---

修改后

params = {
    "mid": self.__uid,
    "token": "",
    "platform": "web",
    "web_location": 1550101
}
# 计算结果 {'mid': 434334701, 'token': '', 'platform': 'web', 'web_location': 1550101, 'wts': 1684894733, 'w_rid': 'c280cbb87d48901aefa026d5257830c6'}

与实际相符

[z0z0r4]

我的意思是不需要token也可以，你试过了吗？我上周试过...

[Drelf2018]

我的意思是不需要token也可以，你试过了吗？我上周试过...

原因是 w_rid 不正确时访问接口概率成功，因为你写了那个 -403 重试才看上去不需要token也可以。实际上会发现成功获取数据前 request 函数被调用了多次。

[z0z0r4]

我的意思是不需要token也可以，你试过了吗？我上周试过...

原因是 w_rid 不正确时访问接口概率成功，因为你写了那个 -403 重试才看上去不需要token也可以。实际上会发现成功获取数据前 request 函数被调用了多次。

这...那你测试没问题就行，我没法验证.jpg

[Drelf2018]

不一定得按照网页原参数传api的吧

难说，只能保证按照原参数传能获得一样的 w_rid

减少参数获得的 w_rid 能否通过b站验证不知道。

[aaa1115910]

不一定得按照网页原参数传api的吧

难说，只能保证按照原参数传能获得一样的 w_rid

减少参数获得的 w_rid 能否通过b站验证不知道。

我试过增加不存在的参数计算得到的 w_rid 能通过验证

[z0z0r4]

SocialSisterYi/bilibili-API-collect#631 (comment)

不管咋说我合并了，得排序，不用急着去加token参数