zca-js

zca-js giả lập Zalo Web để một chương trình Node.js đăng nhập và nhắn tin bằng tài khoản cá nhân.

Bản được khảo sát: zca-js@2.2.0. Đây là thư viện mã nguồn mở của cộng đồng, viết bằng TypeScript, và không liên quan gì tới công ty Zalo/VNG.

loginQR / login(cookie, imei, userAgent)
    ↓  HTTP tới các service zpw (tham số mã hoá AES, ký MD5)
Context  (cookie jar, secretKey, uid, danh sách service)
    ↓
listener.start()  →  WebSocket  →  nhận cipher_key  →  ping định kỳ
    ↓
khung nhị phân: 4 byte header (version, cmd, subCmd) + JSON
    ↓  cmd 501 = tin 1-1 · 521 = tin group · 601 = sự kiện điều khiển
giải mã (AES + pako) → UserMessage / GroupMessage → emit("message")

Cơ chế

Thuộc tính	Ghi chú
Đăng nhập	loginQR() lấy mã QR từ Zalo. Quét xong, callback GotLoginInfo trả cookie, imei, userAgent. Lần sau gọi login(credentials) với bộ này, khỏi quét lại
Gọi API	Mỗi hàm (sendMessage, getAllFriends, getGroupInfo…) là một factory tạo request HTTP. Tham số được mã hoá AES bằng secretKey của phiên, URL được ký, kết quả trả về được giải mã
Nhận tin	listener mở WebSocket. Gói đầu tiên mang key để giải mã; sau đó listener ping theo ping_interval do server cấp. Mỗi khung được tách header, parse JSON, giải mã payload rồi phát sự kiện message, reaction, undo, group_event, typing, seen_messages…
Tự nối lại	start({ retryOnClose: true }) thử lại theo bảng mã đóng và thời gian chờ do server cấu hình
Tin của chính mình	selfListen: true thì tin bạn gửi từ máy khác cũng được phát ra, có isSelf = true

Đánh giá code

Điểm	Nhận xét
Tốt	Có type đầy đủ. Mỗi API một file, dễ tìm. Lưu được phiên đăng nhập. Có retry cho WebSocket. Phụ thuộc ít và phổ biến
Chưa tối ưu	Giải mã và parse JSON chạy trên luồng chính; group đông tin có thể làm event loop bị nghẽn. encodeAES/decodeAES nuốt lỗi rồi thử lại tới 3 lần, nên lỗi thật bị che. Logging tắt/bật kiểu toàn cục. getGroupInfo mỗi lần là một request; thư viện không cache tên group hay thành viên
Rủi ro	Phụ thuộc hoàn toàn vào giao thức nội bộ của Zalo: Zalo đổi là thư viện hỏng cho tới khi có bản vá. Mỗi tài khoản chỉ có một kết nối WebSocket; mở Zalo Web ở nơi khác sẽ đá kết nối (mã 3000)

Có thể cải tiến

• Cache tên group và thành viên (Ran đã tự cache tên group trong bộ nhớ).
• Tách giải mã sang worker_threads khi lưu lượng lớn.
• Phát sự kiện lỗi có cấu trúc thay vì nuốt lỗi khi giải mã.
• Bù tin lúc mất kết nối: gọi requestOldMessages sau khi nối lại. Ran chưa làm việc này.
• Hàng đợi gửi có giới hạn tốc độ để tránh bị Zalo đánh dấu spam.

Làm được và không làm được

Làm được	Không làm được
Nhận và gửi tin 1-1 và group theo thời gian thực	Chạy song song với một tab Zalo Web khác của cùng tài khoản
Gửi ảnh, file, sticker, reaction, @mention, trích dẫn, thu hồi	Gọi thoại / video
Danh bạ, group, thông tin người dùng, quản trị group (thêm/xoá thành viên, đổi tên…)	Đọc lại toàn bộ lịch sử cũ trên server (chỉ lấy được một phần qua requestOldMessages)
Lời mời kết bạn, nhãn, tin nhắn nhanh, trả lời tự động, bình chọn	Giải mã nội dung bị Zalo mã hoá đầu-cuối (nếu bật)
Lưu và tái dùng phiên đăng nhập	Bảo đảm tài khoản không bị khoá. Bảo đảm còn chạy khi Zalo đổi giao thức