# #WorkBuddy# 积分不够用？我把 WorkBuddy 本地加密逆向了一遍，做了个服务器自动签到，关电脑也每天领积分

## 一、为什么要折腾这个

WorkBuddy 积分烧得确实快。官方给了几条免费积分来源，其中最稳的是**每日签到**（第 1-6 天每天 100，第 7 天 1000，单周期 1600 分）。但问题是——它要你**天天手动点**。
我这种懒人，最烦的就是每天打开客户端、点左下角头像、点「每日礼包」。断一天，连续签到就断了，第 7 天的 1000 分直接没戏。
于是我想：**能不能把签到自动化，跑在一台云服务器上，电脑关着也能每天自动领？**
答案是能。但这中间踩了一个大坑——WorkBuddy 5.6.2 起把本地登录态**加密**了。这篇文章就把完整过程、包括逆向的细节，全部公开。
## 二、先摸清：签到到底走哪个接口

签到的动作在客户端里点一下，但背后一定有一个后端接口。用 F12 抓包（或者直接搜社区已有资料）能确认两个关键接口：
>【bash 代码】
POST https://www.workbuddy.cn/v2/billing/meter/checkin-activity-status    # 只读：查今天签了没
POST https://www.workbuddy.cn/v2/billing/meter/daily-checkin              # 执行签到

请求体都是空 **{}**，鉴权靠请求头：
>【bash 代码】
Authorization: Bearer <accessToken>
X-User-Id: <你的 uid>
Content-Type: application/json

签到接口是**幂等**的：今天签过了再调，返回 **{"code":10001,"msg":"今天已签到，请明天再来"}**，不会多领、不会扣分。
所以问题的核心就变成一句话：**这个 <accessToken> 从哪拿？**
## 三、第一个坑：token 存在哪

WorkBuddy 桌面端把登录态落盘在：
>【bash 代码】
Windows: %LOCALAPPDATA%\CodeBuddyExtension\Data\Public\auth\workbuddy-desktop.info
macOS:   ~/Library/Application Support/CodeBuddyExtension/Data/Public/auth/
Linux:   ~/.config/CodeBuddyExtension/Data/Public/auth/

这是个 JSON 文件，里面 **auth.accessToken** 就是我们要的东西。
**如果你用的是 5.5.x 或更早的版本，到这里就结束了**——那个版本 accessToken 是明文 JWT，直接读出来就能调接口签到。
但从 **5.6.2 起**，打开这个文件你会发现，accessToken 变成了这样：
>【json 代码】
{
"auth": {
"accessToken": {
"$wbEncrypted": 1,
"envelope": "eyJzdWl0ZSI6MSwia2V5SWQiOi..."
}
}
}

**envelope** 是一段 base64，解码后是个加密信封：
>【json 代码】
{ "suite": 1, "keyId": "9127dea1b44020a7", "nonce": "…", "authTag": "…", "ciphertext": "…" }

官方把敏感字段用 **AES-256-GCM** 加密了。这就是本文要攻克的点。
>📸【配图1：打开 **workbuddy-desktop.info**，把 **accessToken** 字段那段 **$wbEncrypted** 信封截图出来（**envelope** 那串打码）。这张图一眼就能说明"官方确实加密了"。】

## 四、核心逆向：解不开的密钥，原来有官方后门

### 1. 解密密钥不落盘

加密信封是 AES-256-GCM，解密需要一个 32 字节密钥。但官方把密钥**不落盘**——你翻遍硬盘找不到，密钥由客户端运行时通过原生接口在进程内存里生成。
那是不是没戏了？不是。**密钥虽然不落盘，但客户端自己随时能取**。WorkBuddy 内置了一个 Electron 原生绑定 **electron_browser_workbuddy_storage**，里面有个 **loggerGet()** 方法，返回：
>【json 代码】
{ "version": 1, "atRestSecretKey": "Sik9U5aXh…" }

而这个原生绑定，**可以用 Electron 的 ELECTRON_RUN_AS_NODE 模式直接调用**——相当于"向写下这个加密文件的那个程序自己，要回它自己的钥匙"。
### 2. 拿密钥的代码（3 行）

写一个 **get_key.js**：
>【js 代码】
const m = process._linkedBinding('electron_browser_workbuddy_storage');
process.stdout.write(m.loggerGet());

用 WorkBuddy 自己的可执行文件、以 Node 模式跑它：
>【bash 代码】
ELECTRON_RUN_AS_NODE=1 "/path/to/WorkBuddy.exe" get_key.js

就能拿到 **atRestSecretKey**。
>📸【配图2：终端截图——执行 **ELECTRON_RUN_AS_NODE=1 "…/WorkBuddy.exe" get_key.js** 后输出的 **{"version":1,"atRestSecretKey":"…"}**。**密钥值一定要打码**，只留字段名。】

### 3. 派生密钥（关键：是 SHA256，不是直接当 key）

拿到 **atRestSecretKey** 别急着用。真正的 AES 密钥是对这个**字符串**做一次 SHA-256：
>【python 代码】
import hashlib
key = hashlib.sha256(atRestSecretKey.encode("utf-8")).digest()   # 32 字节
# 校验：keyId == sha256(key).hexdigest()[:16]

### 4. 解密的另一个坑：AAD（我最先栽在这）

AES-GCM 有个 optional 参数叫 AAD（附加认证数据）。WorkBuddy 的加密**带了 AAD**，如果你不解 AAD，GCM 校验必失败（**InvalidTag**），白白折腾。
AAD 的构造是固定的（长度前缀 transcript），完整 Python 解密代码如下：
>【python 代码】
import base64, hashlib, json, struct
from cryptography.hazmat.primitives.ciphers.aead import AESGCM
def enc_lp(s):                      # 长度前缀编码
b = s.encode(); return struct.pack(">I", len(b)) + b
def field_aad(keyId, suite):
return (b"WB-AAD\0" + b"\x01"
+ enc_lp("WBEV1") + enc_lp("sym-v1")
+ struct.pack(">I", suite) + enc_lp(keyId)
+ b"\x02" + b"\x00" + b"\x00")
def decrypt(envelope_b64, key):
o = json.loads(base64.b64decode(envelope_b64))
nonce  = base64.b64decode(o["nonce"])
ct     = base64.b64decode(o["ciphertext"])
tag    = base64.b64decode(o["authTag"])
aad    = field_aad(o["keyId"], o["suite"])
return AESGCM(key).decrypt(nonce, ct + tag, aad).decode()

解出来的 **accessToken** 就是标准的 JWT（**eyJhbGciOi...** 开头）。
## 五、签到脚本 + 服务器定时

拿到 token 后，签到脚本就很简单了（Python 标准库，不用装依赖）：
>【python 代码】
import json, urllib.request
cfg = json.load(open("token.json"))
url = f"https://{cfg['domain']}/v2/billing/meter/daily-checkin"
req = urllib.request.Request(url, data=b"{}", method="POST",
headers={"Authorization": "Bearer " + cfg["accessToken"],
"Content-Type": "application/json", "X-User-Id": cfg["uid"]})
resp = json.loads(urllib.request.urlopen(req, timeout=30).read())
# code==0 成功 / code==10001 已签到（幂等）

把 **checkin.py** 和 **token.json** 传到一台云服务器，crontab 加一行：
>【bash 代码】
5 0 * * * cd ~/money-plan && python3 checkin.py >> checkin.log 2>&1

每天 00:05 自动签到，电脑关着照样领。
>📸【配图3：服务器上 **crontab -l** 那一行 + **checkin.log** 里连续几天 **签到成功 +100积分** 的截图。这张最有说服力——证明它真的每天在跑。】

## 六、效果与踩坑

### 效果

- 每天自动 +100 积分（第 7 天 +1000），单周期 1600 分，不用再手动点。

- 全程跑在服务器上，本机零依赖、零常驻。

### 踩坑清单

1. **token 有效期约 55 天**：accessToken 会过期，过期后要回到本机重新解密刷新一次，再推到服务器（refreshToken 有效期约 60 天）。这是"全自动"的唯一手工断点。

1. **密钥不落盘是安全设计**：解密必须在本机、用客户端自己的运行时做；服务器上只有明文 token，**务必 chmod 600 保护**，别把 token 写进任何会公开的地方。

1. **AAD 别漏**：漏了就是 **InvalidTag**，很多人卡在这。

1. **接口域名看 **auth.domain****：不要硬编码，以登录态文件里的 **domain** 字段为准（我的是 **[www.workbuddy.cn**）。](http://www.workbuddy.cn**）。)

1. **合规提醒**：本文仅用于个人账号、个人学习研究。接口是官方客户端内部接口（非公开 API），WorkBuddy 更新后可能失效；请遵守服务条款，别拿去做商业用途。

## 七、总结

整个过程最有价值的一步，不是签到脚本（那几行谁都会写），而是**把 WorkBuddy 5.6+ 的本地加密信封逆向清楚**——密钥不落盘、要 SHA256 派生、GCM 带 AAD，这三点任何一个没搞对都解不出来。
这个思路也能复用：WorkBuddy 的 **refreshToken** 也是同样格式加密的，理论上还能做"服务器端自动刷新 token"，把 55 天的手工断点也消掉。留给你去试。


----

WorkBuddy 积分烧得确实快。官方给了几条免费积分来源，其中最稳的是每日签到（第 1-6 天每天 100，第 7 天 1000，单周期 1600 分）。但问题是——它要你天天手动点。我这种懒人，最烦的就是每天打开客户端、点左下角头像、点「每日礼包」。断一天，连续签到就断了，第 7 天的 1000 分直接没戏。于是我想：能不能把签到自动化，跑在一台云服务器上，电脑关着也能每天自动领？答案是能。但这中间踩了一个大坑——WorkBuddy 5.6.2 起把本地登录态加密了。这篇文章就把完整过程、包括逆向的细节，全部公开。

#WorkBuddy# 积分不够用？我把 WorkBuddy 本地加密逆向了一遍，做了个服务器自动签到，关电脑也每天领积分

WorkBuddy 积分烧得确实快。官方给了几条免费积分来源，其中最稳的是每日签到（第 1-6 天每天 100，第 7 天 1000，单周期 1600 分）。但问题是——它要你天天手动点。我这种懒人，最烦的就是每天打开客户端、点左下角头像、点「每日礼包」。断一天，连续签到就断了，第 7 天的 1000 分直接没戏。于是我想：能不能把签到自动化，跑在一台云服务器上，电脑关着也能每天自动领？答案是能。

安全

开发工具

后端

本文公开了WorkBuddy 5.6.2+本地登录态加密的完整逆向方案，通过ELECTRON_RUN_AS_NODE模式调用原生绑定获取密钥，SHA256派生后解密AES-256-GCM加密信封，实现每日自动签到。附带服务器定时任务部署教程，全程无需手动操作，电脑关机也能每天自动领取积分。

2026上云采购 | AI焕新·智启新局

workbuddy

热销域名限时优惠，新客首年免费！


domain

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

#WorkBuddy# 积分不够用？我把 WorkBuddy 本地加密逆向了一遍，做了个服务器自动签到，关电脑也每天领积分-腾讯云开发者社区-腾讯云

#WorkBuddy# 积分不够用？我把 WorkBuddy 本地加密逆向了一遍，做了个服务器自动签到，关电脑也每天领积分

#WorkBuddy# 积分不够用？我把 WorkBuddy 本地加密逆向了一遍，做了个服务器自动签到，关电脑也每天领积分

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐