跑步提交用的是 v3 access_token，它只有一个来源：乐跑软件登录时的 WpLogin/loginByCode 响应。 这个 token 是单活动会话消耗品 —— 换了新会话旧的就死（表现为 status=101）， 提交完成后也会被消耗。

不过日常不需要你手动维护它 —— 只要账号里有 refresh_token， 系统会自己续（跑完自动补 / 失效自动救 / 到期自动保活）。 下面的做法只在首次授权、或 refresh_token 也过期了（超过 30 天没开机）时才用得上， 按省事程度排序：

1. 代理抓取（推荐，零抓包）：手机装一次根证书 → 把手机的 Wi-Fi 代理 或流量代理（安卓 APN）指到本服务 → 打开乐跑登录一次。服务端从代理流量里直接截获 loginByCode 响应并落库，你什么都不用粘。
2. 手动粘贴（账号行「授权」按钮）：自己抓一次 loginByCode 响应 → 粘贴 → 服务器解密落库。代理不好使时的兜底。
3. 无感续期（已跑通，日常不用管）：抓到的响应里带 refresh_token （30 天期），服务端存下来后可以原地换一整套新 token —— 跑完自动补、失效自动救、到期自动保活， 账号行右侧也有手动「续期」按钮。不用再拿手机每天登一次。

「学号密码」那条路走的是乐跑 H5 的 学号+密码+验证码 链， 只能用来确认账号真实存在、拿学校信息，它给的是 PHPSESSID，不是 v3 token，不能用于提交。 （另：v3 上确实存在白名单方法 WpLogin/loginByPwd，参数壳尚未攻破，属待办。）

网页版信封：form ostype=5&data=<AES>，公共参数含 card_id/term_id/course_id/class_id。抓的是网页版就选它。
App 信封：form key=<AES>，JSON 里 ostype="1"， 且必须带设备指纹 jpush_id/mobileDeviceId/mobileModel/mobileOsVersion + version_name（<5.0.0 会被网关拒）。抓的是 App 就选它。

两套的签名算法相同：键名排序 → key+value 直拼 → 追加盐 rDJiNB9j7vD2 → MD5。差别只在参与签名的字段集。本系统会自动识别你粘的是哪套。

乐跑按 school_id 区分学校（整数）。南京工业大学浦江学院 = 670（已实测）。 其他学校可在软件「我的 → 学校」查看，或让管理员用管理端工具批量试。

v3 校验会话与出口的同态性：取 token 时走哪条网络，提交时就得走同一条，否则返回 101。 直连抓的就留空；走了代理的就填同一个代理。三种写法都认： host:port、 user:pass@host:port（商业代理账密认证）、 http://user:pass@host:port。 一个账号绑一个固定出口，不要换来换去——换了出口就必须重新抓一次 token。