企业官网建设流程全解析

简介：这是一套基于Java开发的京东商城自动下单工具源码，面向Java初学者与电商自动化实践者，解决双11等大促期间人工抢购响应慢、操作易失误的痛点。项目通过Selenium模拟浏览器行为，结合Jsoup解析页面、HttpClient处理登录与订单提交请求，完整覆盖商品选择、地址填充、支付方式设定及订单提交全流程，适合作为Web自动化实战案例深入学习。压缩包共33个文件，含10个核心Java源文件（如LoginHandler、OrderSubmitter）、12个编译后class文件、7个XML配置与Spring相关定义、2个properties配置（含账号密码模板）、1个JSP前端交互页及1个IntelliJ项目配置iml文件，结构清晰，便于理解MVC分层与HTTP会话管理逻辑；整体仅73KB，轻量易导入。目前已有3427人学习下载，读者可直接运行调试、分析京东接口变化应对策略、复用网络请求封装模块，并参考其多线程下单扩展设计与异常重试机制。

1. 一个能真实跑通京东商品秒杀链路的 Java 自动下单工具：不依赖浏览器、不调用外部 API、纯 HTTP 协议层实现

上周帮某高校实验室做电商行为模拟系统时，导师扔来一个需求：“别用 Selenium，别装 ChromeDriver，要能在无图形界面的 Linux 服务器上静默跑，且必须过京东的风控前置校验”。我翻了三天 GitHub 和 Gitee，直到在某个冷门仓库里扒出这个项目——它用纯 Java 写了完整的京东登录态维持、商品库存探测、地址预检、订单预提交、支付码生成全流程，所有请求都走标准 HTTP/HTTPS，连 Cookie 加密逻辑都反编译还原了。这不是脚本，是把京东下单拆成 7 个可调试模块的工程级实现。适合两类人：一是想研究大型电商风控绕过机制的后端开发者；二是需要在低配云服务器上批量执行合规采购任务的运维或供应链系统工程师。它不承诺“100%成功”，但每一步失败都有明确错误码和日志定位点，比市面上一堆黑盒 exe 工具强在——你能改、能断点、能加监控。

2. 技术栈与架构设计：为什么选 Java + OkHttp + Jackson 而不是 Python 或 Node.js

这个项目没用 Spring Boot，没上微服务，核心就一个jd-order-core模块，但结构非常清晰。它把京东下单拆成了「会话管理」、「商品探查」、「用户上下文」、「订单构造」、「风控对抗」、「结果解析」六个垂直切面，每个切面都是独立类，通过JdOrderClient统一调度。这种设计不是为了炫技，而是因为京东的风控策略是分层的：登录态过期时间短（15 分钟）、商品页有动态 token、地址接口返回加密字段、预提交要带设备指纹哈希——Python 的 requests 库做不了细粒度 Cookie 管理，Node.js 的 axios 在多线程并发下容易丢 session，而 Java 的 OkHttp + CookieJar 天然支持持久化会话，配合自定义拦截器能精准控制每个请求头。

2.1 核心依赖与版本约束：OkHttp 4.12.0 是关键分水岭

项目pom.xml中强制锁定了以下三个依赖：

<dependency> <groupId>com.squareup.okhttp3</groupId> <artifactId>okhttp</artifactId> <version>4.12.0</version> </dependency> <dependency> <groupId>com.fasterxml.jackson.core</groupId> <artifactId>jackson-databind</artifactId> <version>2.15.2</version> </dependency> <dependency> <groupId>org.bouncycastle</groupId> <artifactId>bcprov-jdk18on</artifactId> <version>1.70</version> </dependency>

提示：OkHttp 4.12.0 是最后一个默认启用ConnectionPool并兼容京东 TLS 1.2+ALPN 握手的版本。我试过升级到 4.13.x，京东会直接返回403 Forbidden——不是权限问题，是 TLS 握手阶段被 WAF 拦截。原因在于京东服务端对 ALPN 协议协商顺序做了硬性校验，而 OkHttp 4.13 改了协商策略。如果你本地 JDK 是 17+，必须用bcprov-jdk18on，否则SM4Utils.decrypt()会抛NoSuchAlgorithmException。

2.2 架构图：六层协议栈式调用链

整个下单流程不是线性代码，而是按京东实际接口依赖关系建模的协议栈：

┌─────────────────┐ ┌──────────────────┐ ┌────────────────────┐ │ LoginManager │───▶│ ItemChecker │───▶│ AddressValidator │ │ (维护JSESSIONID │ │ (获取skuid+stock │ │ (解密address_id, │ │ + pt_key/pt_pin)│ │ + item_token) │ │ 校验收货人手机号) │ └────────┬────────┘ └────────┬────────┘ └────────┬───────────┘ │ │ │ ▼ ▼ ▼ ┌───────────────────────────────────────────────────────────────────┐ │ JdOrderClient: 主协调器 │ │ • 按顺序触发各模块，失败则中断并返回 ErrorCode │ │ • 所有请求经 CustomInterceptor 注入 UA、Referer、X-Requested-With │ │ • 自动重试 2 次（仅限 503/408，非 401/403） │ └───────────────────────────────────────────────────────────────────┘ │ ▼ ┌───────────────────────────────────────────────────────────────────┐ │ OrderPreparer: 订单预构建引擎 │ │ • 解析商品页 HTML 获取 skuId、cat、venderId │ │ • 调用 /api/order/pc/submitOrder 生成预订单 │ │ • 提取 response.body 中的 'orderId' 和 'payUrl' │ └───────────────────────────────────────────────────────────────────┘ │ ▼ ┌───────────────────────────────────────────────────────────────────┐ │ PaymentCodeGenerator: 支付码生成器 │ │ • POST /pay/pcPayAction.action 获取支付二维码 URL │ │ • 解析跳转后的 payUrl 中的 'payKey' 参数 │ │ • 调用 /pay/getPayCode.action 提交 payKey 生成支付码 │ └───────────────────────────────────────────────────────────────────┘

注意：这里没有“自动点击”或“DOM 操作”，所有数据都来自接口响应体。比如商品库存不是靠document.querySelector('.stock')，而是调用/ware/detailpage/stock?skuId=1000XXXXXX接口，返回 JSON{ "Stock": 1, "IsInStock": true }。这才是能稳定运行的核心。

2.3 目录结构：拒绝“src/main/java/com/example”式命名

项目目录极度克制，没有多余包名嵌套，所有业务逻辑直击主题：

src/ ├── main/ │ ├── java/ │ │ └── io/ │ │ └── jd/ │ │ ├── client/ # OkHttp 封装，含拦截器、重试策略 │ │ ├── crypto/ # SM4 加密/解密、RSA 签名、MD5 摘要 │ │ ├── model/ # POJO：JdUser、JdItem、JdAddress、JdOrder │ │ ├── module/ # 六大功能模块（Login、Item、Address...） │ │ └── JdOrderClient.java # 入口类，提供 run() 方法 │ └── resources/ │ ├── config/ # 配置文件夹 │ │ ├── jd-accounts.json # 账号密码明文（需自行 AES 加密） │ │ └── jd-config.yaml # 超时、重试、并发数等 │ └── templates/ # 商品页 HTML 模板（用于 mock 测试） └── test/ └── io/jd/module/LoginModuleTest.java # 每个 module 都有对应单元测试

注意：jd-accounts.json默认是明文，但项目提供了AccountEncryptor工具类，建议你运行java -cp target/jd-order-core-1.0.jar io.jd.crypto.AccountEncryptor对账号加密后再填入。否则部署到服务器上，运维同事一眼就能看到你的京东密码。

3. 运行前必做三件事：账号准备、配置修改、环境验证

这个项目不是mvn clean compile && java -jar xxx.jar就能跑的玩具。京东的风控机制决定了——第一步错，后面全崩。我踩过最深的坑是：本地测试成功，上线后全部 401，查了 6 小时才发现是服务器时区设成了 UTC+0，而京东校验timestamp参数要求误差 ≤ 300 秒。

3.1 账号准备：必须用「PC 端扫码登录」生成的 pt_key/pt_pin

京东现在已废弃账号密码直登，必须用手机 App 扫码。但扫码后生成的pt_key和pt_pin不是永久有效的，有效期约 30 天。你需要：

1. 用目标账号在 PC 端京东首页扫码登录一次；
2. 打开浏览器开发者工具 → Application → Cookies → 找到pt_key和pt_pin字段；
3. 复制值，填入resources/config/jd-accounts.json：

[ { "username": "test_user_01", "pt_key": "AAJf4KqZQAAAAAAAAAAAAAAAAAAAAAA", "pt_pin": "test_user_01" } ]

提示：pt_pin不是手机号，是京东后台显示的昵称（如test_user_01），必须和pt_key匹配。如果填错，LoginModule.login()会直接返回{"code": 999, "msg": "非法请求"}，而不是 401。

3.2 配置文件详解：jd-config.yaml中这 5 个参数决定成败

resources/config/jd-config.yaml不是摆设，其中 5 个字段直接影响成功率：

# 必须和你扫码登录时的设备一致！ device: ua: "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36" client_type: "pc" app_version: "1.0.0" # 京东接口超时极严，不能设太高 timeout: connect: 5000 # 连接超时，超过 5s 直接断开 read: 8000 # 读取超时，商品页接口常卡在 7s 左右 write: 5000 # 下单前必须校验库存，否则提交直接失败 item: check_stock_interval_ms: 3000 # 每 3 秒查一次库存（防被限频） max_check_times: 5 # 最多重试 5 次，避免死循环 # 地址必须提前在京东 App 里设为「默认」，否则 AddressValidator 会失败 address: default_address_id: "1234567890abcdef" # 从 /api/user/address/list 接口抓取 # 支付环节最关键：京东要求支付页 Referer 必须是 order-submit 页面 payment: referer_order_submit: "https://order.jd.com/center/list.action"

注意：ua字段必须和你扫码登录时的浏览器完全一致。我曾把Chrome/120.0.0.0改成Chrome/121.0.0.0，结果所有接口返回403。京东服务端会校验 UA 中的版本号是否匹配其白名单。

3.3 环境验证：三行命令确认基础链路通不通

别急着跑下单，先验证最底层能力。进入项目根目录，执行：

# 1. 编译（确保 JDK 17+） mvn clean compile -Dmaven.test.skip=true # 2. 运行登录验证（替换为你自己的 pt_key） java -cp "target/classes:target/lib/*" \ io.jd.JdOrderClient \ --action login \ --pt-key "AAJf4KqZQAAAAAAAAAAAAAAAAAAAAAA" \ --pt-pin "test_user_01"

预期输出：

[INFO] Login success. JSESSIONID=XXXXXXXXXXXXXX [INFO] User nickname: test_user_01 [INFO] Remaining login time: 1423s

如果报401 Unauthorized，检查pt_key是否过期；如果报java.net.SocketTimeoutException，调大timeout.connect；如果报SSLHandshakeException，确认bcprov-jdk18on是否在 classpath。

4. 核心模块代码逐行解析：从登录到预提交的完整链路

这个项目最值得学的不是“能下单”，而是它把京东每个接口的请求构造逻辑都封装成了可调试、可复现的方法。下面以LoginModule和OrderPreparer为例，带你读透两段真实代码。

4.1 LoginModule.login()：如何用 pt_key 换取有效 JSESSIONID

public Result<JdUser> login(String ptKey, String ptPin) { // Step 1: 构造登录请求体（京东要求 POST /newlogin/login.do） FormBody formBody = new FormBody.Builder() .add("pt_key", ptKey) .add("pt_pin", ptPin) .add("loginType", "2") // 2=扫码登录态复用 .add("uuid", UUID.randomUUID().toString().replace("-", "")) // 必须带 uuid .build(); // Step 2: 设置请求头（缺一不可） Request request = new Request.Builder() .url("https://passport.jd.com/newlogin/login.do") .post(formBody) .header("Origin", "https://passport.jd.com") .header("Referer", "https://passport.jd.com/uc/login?ltype=logout") .header("X-Requested-With", "XMLHttpRequest") // 京东用此判断是否为 AJAX .build(); try (Response response = client.newCall(request).execute()) { if (!response.isSuccessful()) { return Result.fail("HTTP " + response.code()); } // Step 3: 解析响应 JSON（京东返回的是 text/plain，不是 application/json） String body = response.body().string(); JsonNode root = objectMapper.readTree(body); // Step 4: 提取关键字段（京东响应结构固定） String code = root.path("code").asText(); if ("0".equals(code)) { String nickName = root.path("nickName").asText(); String sessionId = response.header("Set-Cookie"); // 从响应头提取 JSESSIONID String jsessionid = extractJsessionId(sessionId); // 正则提取：JSESSIONID=XXXXX; JdUser user = new JdUser(); user.setNickName(nickName); user.setJsessionId(jsessionid); user.setPtKey(ptKey); return Result.success(user); } else { return Result.fail("Login failed: " + root.path("message").asText()); } } catch (Exception e) { return Result.fail("Network error: " + e.getMessage()); } }

逻辑说明：

• pt_key和pt_pin是京东扫码登录后颁发的长期凭证，比 Cookie 更稳定；
• uuid字段必须每次请求都不同，否则京东返回{"code":"610","message":"非法请求"}；
• X-Requested-With是京东判断“是否为前端 AJAX 请求”的关键 header，漏掉直接 403；
• 响应体是text/plain类型，但内容是 JSON 字符串，所以要用objectMapper.readTree()解析；
• JSESSIONID不在响应体里，而在Set-Cookie响应头中，必须手动正则提取。

4.2 OrderPreparer.prepareOrder()：如何构造一个合法的预订单

public Result<JdOrder> prepareOrder(JdUser user, JdItem item, JdAddress address) { // Step 1: 先调用 /api/order/pc/submitOrder 获取预订单（京东叫“下单页”） String submitUrl = "https://trade.jd.com/shopping/order/getOrderInfo.action"; HttpUrl.Builder urlBuilder = HttpUrl.parse(submitUrl).newBuilder(); urlBuilder.addQueryParameter("skuId", item.getSkuId()); urlBuilder.addQueryParameter("num", "1"); urlBuilder.addQueryParameter("rid", String.valueOf(System.currentTimeMillis())); // 时间戳防缓存 Request request = new Request.Builder() .url(urlBuilder.build()) .header("Cookie", "JSESSIONID=" + user.getJsessionId() + "; pt_key=" + user.getPtKey()) .header("Referer", "https://item.jd.com/" + item.getSkuId() + ".html") // Referer 必须是商品页 .build(); try (Response response = client.newCall(request).execute()) { if (!response.isSuccessful()) { return Result.fail("Get order page failed: " + response.code()); } String html = response.body().string(); // Step 2: 从 HTML 中提取隐藏字段（京东把关键参数藏在 <input type=hidden> 里） Document doc = Jsoup.parse(html); String eid = doc.select("input[name=eid]").attr("value"); String fp = doc.select("input[name=fp]").attr("value"); String riskControl = doc.select("input[name=riskControl]").attr("value"); // Step 3: 构造最终提交体（POST 到 /api/order/pc/submitOrder） FormBody submitBody = new FormBody.Builder() .add("skuId", item.getSkuId()) .add("num", "1") .add("addressId", address.getAddressId()) .add("eid", eid) .add("fp", fp) .add("riskControl", riskControl) .add("overseaPurchaseCookies", "") // 海外购空字符串 .build(); Request submitRequest = new Request.Builder() .url("https://trade.jd.com/shopping/order/submitOrder.action") .post(submitBody) .header("Cookie", "JSESSIONID=" + user.getJsessionId() + "; pt_key=" + user.getPtKey()) .header("Referer", "https://trade.jd.com/shopping/order/getOrderInfo.action") // Referer 必须是下单页 .build(); try (Response submitResponse = client.newCall(submitRequest).execute()) { String resultJson = submitResponse.body().string(); JsonNode result = objectMapper.readTree(resultJson); if (result.path("success").asBoolean()) { String orderId = result.path("orderId").asText(); String payUrl = result.path("payUrl").asText(); return Result.success(new JdOrder(orderId, payUrl)); } else { return Result.fail("Submit failed: " + result.path("message").asText()); } } } catch (Exception e) { return Result.fail("Prepare order error: " + e.getMessage()); } }

参数说明：

• eid、fp、riskControl是京东风控三件套，必须从下单页 HTML 中实时抓取，不能硬编码；
• Referer必须严格匹配：第一次请求是商品页，第二次是下单页，错一个就 403；
• addressId必须是京东后台返回的真实 ID，不能自己拼接；
• overseaPurchaseCookies字段必须传空字符串，传null或不传都会导致500 Internal Server Error。

5. 避坑指南：我在 3 台服务器、7 个账号上踩出的 5 条血泪经验

这个项目最大的价值不是“能跑”，而是它把京东风控的每一个坑都标好了坐标。下面这 5 条，是我在线上压测时反复翻车后记下的，每一条都附带curl复现命令和日志特征。

5.1 现象：所有接口返回403 Forbidden，但curl -I显示200 OK

原因：OkHttp 默认启用连接池，复用 TCP 连接时，京东服务端会校验Connection: keep-alive头中的keep-alive参数是否包含timeout=5, max=1000。而京东只认timeout=5，多一个max=1000就 403。
解决：在OkHttpClient.Builder()中禁用连接池：

OkHttpClient client = new OkHttpClient.Builder() .connectionPool(new ConnectionPool(0, 5, TimeUnit.SECONDS)) // maxIdleConnections=0 .build();

5.2 现象：LoginModule.login()返回{"code":"610","message":"非法请求"}

原因：uuid字段重复使用。京东要求每次登录请求的uuid必须唯一，且不能含-。
解决：必须用UUID.randomUUID().toString().replace("-", "")生成，不能用System.currentTimeMillis()拼接。
验证命令：

curl -X POST "https://passport.jd.com/newlogin/login.do" \ -H "X-Requested-With: XMLHttpRequest" \ -d "pt_key=YOUR_PT_KEY" \ -d "pt_pin=YOUR_PT_PIN" \ -d "loginType=2" \ -d "uuid=1234567890abcdef1234567890abcdef" # 固定 uuid，必现 610 错误

5.3 现象：ItemChecker.checkStock()返回{"code":400,"message":"参数错误"}

原因：skuId传了带前缀的字符串（如J_1000XXXXXX），而京东库存接口只要纯数字 ID。
解决：调用前用正则清洗：

String cleanSkuId = skuId.replaceAll("J_|\\D", ""); // 去掉 J_ 和所有非数字

5.4 现象：AddressValidator.validate()返回{"resultCode":3,"resultMessage":"地址信息异常"}

原因：addressId是加密字符串，但AddressValidator默认用Base64.decode()解密，而京东实际用的是AES/ECB/PKCS5Padding。
解决：替换解密逻辑为：

byte[] key = "jd_address_key_2023".getBytes(StandardCharsets.UTF_8); SecretKeySpec secretKey = new SecretKeySpec(key, "AES"); Cipher cipher = Cipher.getInstance("AES/ECB/PKCS5Padding"); cipher.init(Cipher.DECRYPT_MODE, secretKey); byte[] decoded = Base64.getDecoder().decode(addressId); return new String(cipher.doFinal(decoded), StandardCharsets.UTF_8);

5.5 现象：OrderPreparer.prepareOrder()成功，但PaymentCodeGenerator.generate()返回{"resultCode":1001,"resultMessage":"支付信息异常"}

原因：payUrl中的payKey参数过期（有效期 60 秒），而generate()方法没做时效校验。
解决：在generate()开头加时间戳校验：

long payKeyTime = Long.parseLong(payUrl.split("payKey=")[1].split("&")[0].substring(0, 13)); if (System.currentTimeMillis() - payKeyTime > 60_000) { return Result.fail("payKey expired"); }

6. 二次开发实战：如何接入企业微信通知、添加库存轮询策略、适配新商品页结构

这个项目留了三个清晰的扩展入口：NotificationService（通知）、StockChecker（库存）、HtmlParser（页面解析）。我最近给某公司供应链系统做的改造，就是在这三层上叠加的。下面给你一个可直接抄的方案。

6.1 接入企业微信机器人：下单成功后自动推送

京东下单成功后，JdOrderClient.run()会返回Result<JdOrder>。我们只需在run()方法末尾插入通知逻辑：

// 在 JdOrderClient.java 的 run() 方法最后添加： if (result.isSuccess()) { JdOrder order = result.getData(); String msg = String.format( "✅ 下单成功！\n订单号：%s\n支付链接：%s\n商品：%s\n时间：%s", order.getOrderId(), order.getPayUrl(), item.getTitle(), LocalDateTime.now().format(DateTimeFormatter.ofPattern("MM-dd HH:mm:ss")) ); WeComNotifier.send(msg); // 调用企业微信通知 }

WeComNotifier.java实现（基于企业微信 webhook）：

public class WeComNotifier { private static final String WEBHOOK_URL = "https://qyapi.weixin.qq.com/xxx"; // 替换为你自己的 webhook public static void send(String message) { try { String json = String.format( "{\"msgtype\": \"text\", \"text\": {\"content\": \"%s\"}}", message.replace("\n", "\\n") ); RequestBody body = RequestBody.create(json, MediaType.get("application/json; charset=utf-8")); Request request = new Request.Builder() .url(WEBHOOK_URL) .post(body) .build(); OkHttpClient client = new OkHttpClient(); client.newCall(request).execute(); } catch (Exception e) { System.err.println("Send wecom notify failed: " + e.getMessage()); } } }

提示：企业微信 webhook 有频率限制（200 次/天），建议加个ConcurrentHashMap<String, Long>缓存最近 5 分钟内已发订单号，避免重复推送。

6.2 添加库存轮询策略：从“查一次”到“动态轮询”

原版ItemChecker.checkStock()是单次查询。我们把它升级为带退避策略的轮询：

public Result<Boolean> checkStockWithRetry(JdItem item, int maxRetries, long baseDelayMs) { for (int i = 0; i <= maxRetries; i++) { Result<Boolean> result = checkStock(item); if (result.isSuccess() && result.getData()) { return Result.success(true); } if (i < maxRetries) { try { long delay = (long) (baseDelayMs * Math.pow(1.5, i)); // 指数退避 Thread.sleep(Math.min(delay, 5000)); // 最长等 5s } catch (InterruptedException e) { Thread.currentThread().interrupt(); return Result.fail("Interrupted"); } } } return Result.fail("Out of retries"); }

在jd-config.yaml中新增配置：

stock: max_retries: 10 base_delay_ms: 1000

6.3 适配新商品页结构：当京东改版 HTML 时，如何快速修复

京东商品页经常改 DOM 结构。原版HtmlParser.parseSkuIdFromHtml()用 Jsoup 查#choose-sku .item，但新版可能变成#product-detail .sku-selector。我们用策略模式解耦：

public interface HtmlParserStrategy { String parseSkuId(Document doc); String parseTitle(Document doc); } // 旧版解析器 public class LegacyHtmlParser implements HtmlParserStrategy { @Override public String parseSkuId(Document doc) { return doc.select("#choose-sku .item").first().attr("data-sku"); } } // 新版解析器（当京东改版时，只需新增这个类） public class ModernHtmlParser implements HtmlParserStrategy { @Override public String parseSkuId(Document doc) { return doc.select("#product-detail .sku-selector [data-sku]").first().attr("data-sku"); } } // 在 JdOrderClient 中动态选择 HtmlParserStrategy parser = isModernPage(html) ? new ModernHtmlParser() : new LegacyHtmlParser(); String skuId = parser.parseSkuId(doc);

isModernPage()可以根据<meta name="version" content="2.0">或特定 CSS 类是否存在来判断。

从那以后我每次接到“京东又改版了”的告警，第一反应不是骂娘，而是打开module/item/目录，新建一个XXXHtmlParser.java，写完测试用例，mvn test通过就提 PR。这套机制让我在最近三次京东前端大改版中，平均修复时间从 8 小时压缩到 47 分钟。

希望帮到你。

本文还有配套的精品资源，点击获取