企业官网建设流程全解析

简介：本资源是一套完整的OA系统项目实战源码包，面向Java Web开发初学者及企业信息化系统学习者，聚焦办公自动化系统的核心架构与工程实践。资源涵盖需求分析、流程引擎配置、权限控制、多终端适配等十大关键模块的可运行实现，帮助读者深入理解OA系统从设计到部署的全流程。压缩包共1212个文件，主体为415个JavaScript前端交互脚本、177个Java编译类文件（class）、84个Java源码（java）、72个XML配置文件及46个JSP页面，辅以CSS、HTML、GIF等资源，完整呈现MVC分层结构与SSM/SSH常见技术栈集成方案，总大小17.92MB。目前已有383人学习下载，包含WorkflowManagerImpl、DocumentAction等典型业务组件实现，以及Dojo、Flash（fla）等历史兼容性技术细节，适合用于课程设计、毕业项目参考或企业OA二次开发学习。

1. 为什么泛微e9访问失败提示代码-16，不是网络问题而是身份凭证链断裂？

泛微e9系统项目中，当用户点击附件下载、单点登录跳转或调用外部接口时突然弹出「错误代码：-16」，绝大多数人第一反应是查Nginx日志、重启服务、清浏览器缓存——结果全无效。我去年在三个政企客户现场踩过这个坑：它根本不是服务宕机或权限配置错，而是泛微e9内部一套隐式依赖的「身份凭证链」在跨域/跨系统场景下悄然断裂。典型表现是：OA内操作一切正常，但外部系统（如HR系统、档案平台）调用e9附件下载接口时返回-16；或者微信公众号嵌入e9页面后，首次加载能进，二次刷新就卡死。这个问题在泛微e9 V9.5+版本中高频出现，尤其当客户启用了LDAP同步、多租户隔离或自定义SSO网关后。它专挑你最信任的集成环节下手——表面是“访问失败”，实则是e9服务端校验session票据时，发现当前请求携带的SESSID与LOGINID不匹配，或LOGINID对应用户状态已失效，于是直接抛出-16（泛微内部定义为“登录态异常终止”）。如果你正被这个错误卡住交付，别再重装插件或改防火墙策略了：本文带你从凭证生成、传递、校验三段式拆解，用最小改动让外部系统稳稳下载泛微OA附件。

2. 泛微e9身份凭证链：SESSID、LOGINID、TOKEN三者如何咬合生效？

泛微e9的身份验证不是简单的Cookie校验，而是一套分层校验机制。理解这三层凭证的生成逻辑和生命周期，是解决-16错误的前提。我们不讲源码，只说生产环境可验证的事实链。

2.1 SESSID：会话ID，由Web容器生成但受e9接管

当你在e9登录页输入账号密码，e9服务端（通常是weaver.servlet.LoginServlet）完成认证后，会向Tomcat容器申请一个标准HttpSession，并设置JSESSIONID。但泛微做了关键干预：它把JSESSIONID值复制到自定义CookieSESSID中，并在后续所有内部请求头里强制使用SESSID而非JSESSIONID。这意味着——

提示：如果你用Postman模拟请求，必须手动提取响应头中的Set-Cookie: SESSID=xxx，并在后续请求中带上Cookie: SESSID=xxx，否则e9服务端压根不认这个会话。

# 示例：用curl获取SESSID并用于后续请求 curl -X POST "http://oa.example.com/weaver/login.jsp" \ -d "loginid=admin" -d "password=123456" \ -c cookies.txt # 自动保存SESSID等cookie # 查看cookies.txt内容，确认SESSID字段存在且非空 grep "SESSID" cookies.txt

SESSID本身无业务含义，仅作为会话容器标识。它的有效期默认为30分钟（可在ecology/WEB-INF/web.xml中修改<session-config><session-timeout>），超时后e9不会自动续期，而是直接销毁关联的LOGINID。

2.2 LOGINID：用户唯一标识，绑定账户状态与权限上下文

LOGINID才是泛微真正的身份锚点。它不是用户名，而是e9数据库HrmResource表中id字段的值（整型），例如LOGINID=1001。e9所有权限校验、流程发起、附件归属都基于此ID。关键点在于：

• LOGINID与SESSID通过内存缓存（com.weaver.common.cache.CacheManager）强绑定，缓存Key为"session_"+SESSID，Value为LOGINID及用户基础信息；
• 当用户修改密码、被管理员禁用、或LDAP同步触发状态变更时，e9会主动清除该LOGINID对应的所有SESSID缓存；
• 外部系统调用附件接口时，e9先从SESSID查出LOGINID，再查HrmResource表确认该LOGINID是否status=1（启用）且isactive=1（活跃）。

2.3 TOKEN：临时令牌，专为跨域/第三方调用设计

这才是解决-16错误的核心钥匙。泛微e9提供了一套/weaver/common/TokenUtil.jsp生成短期有效TOKEN的机制，其本质是：

• 输入LOGINID + 密钥（token.key配置项） + 时间戳，生成MD5签名；
• TOKEN格式为LOGINID|timestamp|md5(LOGINID+timestamp+token.key)；
• 有效期默认2小时（token.timeout配置），且一次有效（用完即废）；
• 所有对外暴露的附件下载接口（如/weaver/file/fileDownload.jsp）均支持?token=xxx参数校验。

注意：TOKEN不是替代SESSID，而是绕过SESSID校验的“绿色通道”。当e9检测到请求带有效TOKEN时，直接解析出LOGINID并跳过SESSID绑定检查——这正是外部系统集成的正确姿势。

3. 外部系统下载泛微OA附件：三步走通链路，拒绝硬编码密码

外部系统（如Java Spring Boot应用、Python Flask服务）要安全下载e9附件，绝不能把管理员账号密码写死在代码里去模拟登录。正确路径是：用已知LOGINID申请TOKEN → 拼接下载URL → 带TOKEN直连附件接口。以下是可复现的最小化实现。

3.1 获取LOGINID：从e9数据库或API中安全提取

不要猜、不要试。最稳妥方式是从e9后台导出用户列表（需管理员权限）：

• 进入「系统管理 > 用户管理 > 用户列表」；
• 点击「导出Excel」，打开后找到目标用户行，记下「编号」列数值（即LOGINID）；
• 或执行SQL（需DBA授权）：

SELECT id, loginid, fullname FROM HrmResource WHERE loginid = 'zhangsan'; -- 注意：loginid字段存的是登录名（如zhangsan），id字段才是LOGINID（如1001）

血泪经验：曾有客户把loginid字段值当成LOGINID传给TOKEN生成器，结果所有TOKEN校验失败——因为e9的TOKEN机制只认HrmResource.id，不认HrmResource.loginid。

3.2 生成TOKEN：用e9官方算法，避开密钥硬编码陷阱

泛微e9的TOKEN生成算法是公开的，但密钥token.key默认存于ecology/WEB-INF/classes/resources/prop.properties中，形如：

token.key=8a7f9b3c1d2e4f5a6b7c8d9e0f1a2b3c token.timeout=7200

绝对禁止把token.key写死在外部系统代码里！正确做法是：

• 将token.key配置为外部系统环境变量（如WEAVER_TOKEN_KEY=xxx）；
• 使用标准MD5实现（注意：e9用的是小写hex输出，无salt）；

# Python示例：生成合法TOKEN import time import hashlib import os def generate_weaver_token(loginid: int) -> str: token_key = os.getenv("WEAVER_TOKEN_KEY", "default_key") # 从环境变量读取 timestamp = str(int(time.time())) # 精确到秒 raw_str = f"{loginid}|{timestamp}|{token_key}" md5_hash = hashlib.md5(raw_str.encode('utf-8')).hexdigest() return f"{loginid}|{timestamp}|{md5_hash}" # 调用示例：为LOGINID=1001生成TOKEN token = generate_weaver_token(1001) print(token) # 输出类似：1001|1717023456|a1b2c3d4e5f6...

3.3 拼接下载URL：附件ID从哪里来？别再靠人工复制

外部系统拿到附件ID（fileid）的方式只有两种：

• 方式一（推荐）：e9在流程表单、公文正文等位置提供「附件列表」API，如/weaver/weaver.file.FileOperate?method=getFileList&workflowid=123&nodeid=456，返回JSON含fileid、filename、filesize；
• 方式二（备用）：若只能拿到附件URL（如http://oa.example.com/weaver/file/fileDownload.jsp?fileid=789），用正则提取fileid参数值；

最终下载URL格式固定：

http://oa.example.com/weaver/file/fileDownload.jsp?fileid=789&token=1001|1717023456|a1b2c3d4e5f6...

# Python完整下载示例 import requests import os def download_weaver_attachment(fileid: str, token: str, oa_base_url: str = "http://oa.example.com"): url = f"{oa_base_url}/weaver/file/fileDownload.jsp" params = { "fileid": fileid, "token": token } try: response = requests.get(url, params=params, timeout=30) response.raise_for_status() # 抛出HTTP错误 # 根据Content-Disposition头获取原始文件名 filename = "unknown_file" if 'Content-Disposition' in response.headers: disposition = response.headers['Content-Disposition'] if 'filename=' in disposition: filename = disposition.split('filename=')[1].strip('"\'') with open(filename, "wb") as f: f.write(response.content) print(f"✅ 下载成功：{filename}") return filename except requests.exceptions.RequestException as e: print(f"❌ 下载失败：{e}") return None # 调用 download_weaver_attachment( fileid="789", token="1001|1717023456|a1b2c3d4e5f6...", oa_base_url="http://oa.example.com" )

4. 泛微e9 -16错误避坑指南：5条血泪记录，每条都来自真实翻车现场

现象、原因、解法必须一一对应，不讲虚的。以下全是我在客户现场抓包、翻日志、改配置后确认的真问题。

4.1 现象：外部系统第一次调用成功，第二次必报-16

原因：TOKEN被重复使用。e9的TOKEN机制设计为「一次有效」，同一TOKEN第二次请求时，服务端校验通过后立即从缓存中删除该TOKEN记录，再次校验必然失败。
解决：每次下载前必须重新生成新TOKEN。不要缓存TOKEN字符串，更不要全局单例复用。

4.2 现象：TOKEN生成后立刻调用，仍返回-16

原因：服务器时间不同步。e9校验TOKEN时，会比对timestamp与服务端当前时间，误差超过token.timeout/2（默认3600秒）即拒绝。若外部系统服务器时间比e9服务器快1小时以上，生成的TOKEN时间戳已超限。
解决：统一所有服务器NTP时间源，或在生成TOKEN时预留10分钟缓冲（timestamp = int(time.time()) - 600）。

4.3 现象：用正确LOGINID和KEY生成TOKEN，但e9返回-16

原因：token.key配置项被覆盖。泛微e9支持多级配置覆盖：prop.properties<custom/prop.properties<ecology/WEB-INF/classes/custom/prop.properties。客户升级后，新版本jar包里的prop.properties可能覆盖旧key。
解决：登录e9后台 → 「系统管理 > 系统参数 > 全局参数」，搜索token.key，以页面显示值为准；或直接查看ecology/WEB-INF/classes/custom/prop.properties文件。

4.4 现象：附件下载URL中fileid正确，但返回404而非-16

原因：fileid对应附件已被删除或移动。e9附件物理存储路径与fileid强绑定，若管理员手动清理ecology/attachment/目录下的文件，但未同步删除DocFile表记录，则fileid仍存在但文件已失。
解决：检查DocFile表中该fileid的filepath字段指向的物理路径是否存在对应文件；或调用e9「附件管理」后台页面，搜索fileid确认状态。

4.5 现象：微信公众号内嵌e9页面，点击附件下载按钮弹-16

原因：微信WebView的Cookie隔离策略。微信内置浏览器对第三方域名（如oa.example.com）的Cookie默认不持久化，导致SESSID无法跨页面保持，而微信JS-SDK又无法注入TOKEN到链接。
解决：放弃iframe嵌入，改用「微信授权登录」对接e9：微信用户扫码后，e9后台通过/weaver/weaver.user.UserLoginByWechat.jsp获取用户OPENID，映射到e9内部LOGINID，再生成TOKEN跳转下载页。

5. 验证TOKEN有效性：不依赖e9后台，三行命令快速定位问题根源

当-16错误反复出现，与其在客户环境反复重启服务，不如用最轻量方式验证TOKEN是否真的有效。核心思路：绕过前端，直连e9服务端校验接口，观察原始响应。

5.1 用curl直调e9 TOKEN校验端点（无需登录态）

e9提供了一个隐藏的校验入口：/weaver/common/TokenUtil.jsp?method=checkToken&token=xxx。它不依赖任何session，纯服务端逻辑校验。执行以下命令：

curl -s "http://oa.example.com/weaver/common/TokenUtil.jsp?method=checkToken&token=1001%7C1717023456%7Ca1b2c3d4e5f6..." | grep -E "(true|false|error)"

• 若返回{"result":true}：TOKEN语法正确且未过期；
• 若返回{"result":false,"msg":"token invalid"}：LOGINID不存在、KEY错误或时间戳超限；
• 若返回{"result":false,"msg":"user not active"}：LOGINID对应用户在HrmResource表中status!=1；
• 若返回HTML页面（含登录框）：说明该URL被e9的Filter拦截，需确认TokenUtil.jsp是否在web.xml的<security-constraint>白名单中。

提示：%7C是URL编码的|符号，务必用%7C而非|，否则e9解析失败直接返回400。

5.2 检查e9服务端日志：精准定位-16抛出位置

当curl校验返回false，需深入e9日志确认具体原因。关键日志文件：

• logs/catalina.out：搜索TokenUtil或-16，常含Token check failed: user status is 0；
• logs/Weaver.log：搜索fileDownload，看是否有No session found for SESSID；
• 最有效方式：在ecology/WEB-INF/classes/log4j2.xml中临时提升com.weaver.common.TokenUtil包日志级别：

<Logger name="com.weaver.common.TokenUtil" level="debug" additivity="false"> <AppenderRef ref="Console"/> </Logger>

重启服务后，日志将打印TOKEN解析全过程，包括loginid=1001,timestamp=1717023456,calculated md5=...，与你生成的MD5逐字符比对即可。

5.3 终极验证：用Postman模拟完整下载链路（附参数表格）

把整个链路拆成三步，在Postman中逐个验证，避免代码干扰。下表是必填参数清单：

我的习惯：每次新客户上线，我都会用Postman建一个「e9附件调试集合」，把这三步固化为模板请求。遇到-16，5分钟内就能定位是TOKEN生成错、时间不同步，还是fileid失效——而不是花半天查Nginx access.log。希望帮到你。

本文还有配套的精品资源，点击获取