企業微信 AI 機器人怎麼搭建？三種方案對比（附程式碼）

管理後台 →「應用管理」→「自建」→「建立應用」，可見範圍先選一個小部門做灰度。記下三個值：

• corpid：「我的企業」頁 → 企業 ID
• AgentId：應用詳情頁
• Secret：應用詳情頁（只顯示一次，立即存入金鑰管理，不要進程式庫）

應用詳情 →「接收訊息」→「設定 API 接收」，填三項：URL（你伺服器的 HTTPS 位址）、Token、EncodingAESKey（可隨機產生）。點儲存時，企微會向你的 URL 發一個 GET 驗證請求，要求驗簽通過並原樣返回解密後的 echostr。

# callback_verify.py —— 回調 URL 驗證（GET）
# 驗簽規則：對 token、timestamp、nonce、密文四者排序拼接後取 sha1
import hashlib

def check_signature(token, timestamp, nonce, encrypt_msg):
    items = sorted([token, timestamp, nonce, encrypt_msg])
    return hashlib.sha1("".join(items).encode()).hexdigest()

@app.route("/wecom/callback", methods=["GET"])
def verify():
    encrypt = request.args["echostr"]
    expect = request.args["msg_signature"]
    actual = check_signature(TOKEN, request.args["timestamp"],
                             request.args["nonce"], encrypt)
    if actual != expect:
        return "bad signature", 403
    # 用官方加解密庫（WXBizMsgCrypt）做 AES 解密，拿到明文後原樣返回
    return decrypt_echostr(encrypt, AES_KEY)

驗簽失敗的三大原因：Token 填錯、伺服器時間漂移（做 NTP 對時）、只寫了 POST 沒寫 GET。除錯期把「排序後參與計算的四個字串」打進日誌，一眼就能看出差在哪。

員工在應用裡發訊息後，企微會 POST 一段加密 XML 到你的回調 URL。兩個硬約束：5 秒內必須響應（逾時企微會重試，最多三次），重試的訊息內容一模一樣（不去重就會重複回覆）。所以標準寫法是：收到立即去重並返回，AI 處理放異步，算完再主動推給員工。

# wecom_bot.py —— 收訊息：MsgId 去重 + 異步處理
import threading

replying = set()          # 生產環境換 Redis，防多實例重複處理

@app.route("/wecom/callback", methods=["POST"])
def on_message():
    xml = decrypt_msg(request.data, request.args)   # 官方加解密庫解開 XML
    msg_id = xml.get("MsgId")
    if msg_id in replying:
        return "success"        # 重試的重複訊息，直接吞掉
    replying.add(msg_id)
    threading.Thread(target=handle, args=(xml["FromUserName"],
                                          xml["Content"], msg_id)).start()
    return "success"            # 立即響應，不等 AI

def handle(user, question, msg_id):
    try:
        answer = ask_ai(question)     # 你自己的 AI 服務/知識庫
        send_text(user, answer)       # 用應用訊息介面主動回覆
    except Exception:
        send_text(user, "抱歉，剛才處理逾時了，請再問一次。")
    finally:
        replying.discard(msg_id)

access_token 用 corpid + Secret 換取，有效期 7200 秒，且有獲取頻率限制——每個地方都現取是典型反模式，必須集中快取、單點刷新。另外：呼叫發送介面的伺服器 IP 必須先加入應用的「企業可信 IP」，否則報錯 60020。

# wecom_client.py —— token 集中快取 + 發送文字訊息
import time, requests

_token, _ts = "", 0

def get_token():
    global _token, _ts
    if _token and time.time() - _ts < 7000:      # 留 200 秒餘量
        return _token
    r = requests.get("https://qyapi.weixin.qq.com/cgi-bin/gettoken",
                     params={"corpid": CORP_ID, "corpsecret": SECRET},
                     timeout=5).json()
    _token, _ts = r["access_token"], time.time()
    return _token

def send_text(user, content):
    requests.post(
        "https://qyapi.weixin.qq.com/cgi-bin/message/send",
        params={"access_token": get_token()},
        json={"touser": user, "msgtype": "text", "agentid": AGENT_ID,
              "text": {"content": content[:2000]}},     # 超長先截斷/分段
        timeout=5)

到這裡方案 A 就通了。把 ask_ai() 換成你的 RAG 知識庫或大模型服務，就是一個能用的企業 AI 助手。