簡介2024最新公眾號(hào)無限回調(diào)登錄接口源碼面向未完成ICP備案卻需接入公眾號(hào)登錄能力的開發(fā)者解決正規(guī)接口申請(qǐng)門檻高、回調(diào)受限的痛點(diǎn)。資源共7個(gè)文件、約7.77MB內(nèi)含PHP源碼、MySQL數(shù)據(jù)庫備份gz、HTML說明與界面截圖覆蓋環(huán)境部署、數(shù)據(jù)庫導(dǎo)入、后臺(tái)配置及回調(diào)鏈路設(shè)置等關(guān)鍵環(huán)節(jié)。文件結(jié)構(gòu)清晰既有可直接運(yùn)行的api.php等核心接口也有安裝介紹文本與可視化截圖便于對(duì)照配置Nginx 1.20.2、MySQL 5.6.50、PHP-7.2環(huán)境。已有243人學(xué)習(xí)下載適合具備基礎(chǔ)PHP開發(fā)能力、希望快速實(shí)現(xiàn)公眾號(hào)無限回調(diào)登錄的開發(fā)者按包內(nèi)步驟實(shí)操部署。1. 公眾號(hào)回調(diào)登錄被域名卡住時(shí)「無限回調(diào)」是更省事的答案做微信公眾號(hào)網(wǎng)頁授權(quán)登錄最卡人的往往不是 OAuth 流程本身而是后臺(tái)那個(gè)「網(wǎng)頁授權(quán)域名」只給一個(gè)位置。本地聯(lián)調(diào)要一個(gè)測(cè)試環(huán)境要一個(gè)正式環(huán)境還要一個(gè)公眾號(hào)后臺(tái)卻只肯配一個(gè)多填一次就報(bào) redirect_uri 參數(shù)錯(cuò)誤。2024 年以后我處理這類需求基本都改成了無限回調(diào)登錄接口的思路用一個(gè)中轉(zhuǎn)服務(wù)統(tǒng)一承接微信回調(diào)業(yè)務(wù)域名只需要拼一個(gè)鏈接就能拿到 code 換 openid。這篇把原理、源碼、部署、踩坑一次性講清楚適合正在被回調(diào)域名限制折磨的服務(wù)號(hào)開發(fā)者以及要做多系統(tǒng)統(tǒng)一登錄的團(tuán)隊(duì)。2. 先搞懂微信網(wǎng)頁授權(quán)為什么官方只給一個(gè)回調(diào)域名2.1 網(wǎng)頁授權(quán)的完整鏈路authorize → callback → token微信網(wǎng)頁授權(quán)走的是標(biāo)準(zhǔn)的 OAuth2 授權(quán)碼模式整條鏈路包含三個(gè)角色微信授權(quán)服務(wù)器、你的業(yè)務(wù)系統(tǒng)、用戶瀏覽器。先把這條鏈路在紙上畫明白后面所有代碼才有依據(jù)。第一步業(yè)務(wù)系統(tǒng)把用戶瀏覽器重定向到微信的授權(quán)頁https://open.weixin.qq.com/connect/oauth2/authorize ?appidAPPID redirect_uri回調(diào)地址URL 編碼后的完整路徑 response_typecode scopesnsapi_base state自定義參數(shù) #wechat_redirect第二步用戶同意授權(quán)后微信服務(wù)器帶著 code 和 state把瀏覽器 302 重定向到你填寫的 redirect_urihttps://你的回調(diào)地址/?codeCODEstateSTATE第三步你的后端拿著 code向微信的 token 接口換網(wǎng)頁授權(quán) access_token 和 openidhttps://api.weixin.qq.com/sns/oauth2/access_token ?appidAPPID secretSECRET codeCODE grant_typeauthorization_code第四步如果你申請(qǐng)的是 snsapi_userinfo 權(quán)限再用上一步拿到的 access_token 調(diào)用戶信息接口拿昵稱、頭像和 unionid。這里說的「回調(diào)」不是編程語言里那種 callback 函數(shù)而是 OAuth2 里的 redirect_uri微信生態(tài)里還有 JSAPI 支付回調(diào)和 wx-open-launch-app 的開放標(biāo)簽回調(diào)各自協(xié)議不同本文只講網(wǎng)頁授權(quán)登錄這一條鏈路。整條鏈路里微信對(duì)一個(gè)開發(fā)者最重要的約束就是第三步那個(gè)回調(diào)地址的域名必須在公眾號(hào)后臺(tái)提前登記。2.2 官方回調(diào)域名限制卡住了哪三類場(chǎng)景微信公眾號(hào)后臺(tái)的「網(wǎng)頁授權(quán)域名」只允許配置一個(gè)域名而且有幾個(gè)硬性約束不能帶 http:// 或 https:// 前綴不能帶端口號(hào)不能帶路徑域名必須已完成 ICP 備案。這意味著你只能用example.com這種裸域名example.com:8080、example.com/wx/callback都不會(huì)通過校驗(yàn)。這個(gè)單域名限制在實(shí)際開發(fā)里會(huì)卡住三類場(chǎng)景。第一類是本地開發(fā)。你本地跑著localhost:3000微信服務(wù)器根本訪問不到這個(gè)地址更不可能把它配置成網(wǎng)頁授權(quán)域名。新手最常見的翻車現(xiàn)場(chǎng)就是本地聯(lián)調(diào)時(shí)一切正常一放到微信里就報(bào) redirect_uri 參數(shù)錯(cuò)誤。第二類是多環(huán)境隔離。開發(fā)、測(cè)試、預(yù)發(fā)、生產(chǎn)四個(gè)環(huán)境四個(gè)域名一個(gè)公眾號(hào)只能配一個(gè)改來改去還影響正在聯(lián)調(diào)的其他同事。我見過一個(gè)團(tuán)隊(duì)因?yàn)楦挠蛎l繁直接把生產(chǎn)環(huán)境的登錄也帶崩了。第三類是多業(yè)務(wù)系統(tǒng)復(fù)用同一個(gè)公眾號(hào)。公司有官網(wǎng)、管理后臺(tái)、小程序 H5 三個(gè)系統(tǒng)都要用公眾號(hào)登錄每個(gè)系統(tǒng)的回調(diào)地址都不同公眾號(hào)后臺(tái)的位置卻只有一個(gè)。這才是「無限回調(diào)」這個(gè)需求真正要解決的問題。2.3 「無限」的實(shí)現(xiàn)思路中轉(zhuǎn)域名 臨時(shí)會(huì)話既然公眾號(hào)后臺(tái)只認(rèn)一個(gè)域名那就讓這個(gè)唯一域名成為一個(gè)中轉(zhuǎn)站。中轉(zhuǎn)域名的職責(zé)是統(tǒng)一接收微信的回調(diào)然后根據(jù)請(qǐng)求里攜帶的標(biāo)識(shí)把用戶重定向回真正的業(yè)務(wù)系統(tǒng)。具體拆開是這樣的中轉(zhuǎn)域名 M 配置成公眾號(hào)后臺(tái)唯一的網(wǎng)頁授權(quán)域名。業(yè)務(wù)系統(tǒng) A 把用戶引導(dǎo)到 M 的授權(quán)入口同時(shí)傳給 M 兩個(gè)參數(shù)A 自己的回調(diào)地址和 A 自己生成的 state。M 收到請(qǐng)求后把 A 的回調(diào)地址和 state 存進(jìn)一個(gè)短時(shí)效的臨時(shí)會(huì)話然后拼一個(gè)微信 authorize 鏈接其中 redirect_uri 固定指向 M 自己的回調(diào)接口state 填臨時(shí)會(huì)話 id。微信回調(diào)到 MM 根據(jù) state 里的會(huì)話 id 取出 A 的真實(shí)地址302 跳轉(zhuǎn)到A?codeCODEstate業(yè)務(wù)原state。A 拿到 code 后調(diào) M 暴露的 token 接口換取 openid整個(gè)登錄閉環(huán)完成。這套設(shè)計(jì)里微信側(cè)看到的回調(diào)域名永遠(yuǎn)只有 M 一個(gè)但 M 后端可以為任意數(shù)量的業(yè)務(wù)系統(tǒng)保存回跳地址。所謂「無限」指的是可接入的業(yè)務(wù)域名數(shù)量不再受公眾號(hào)后臺(tái)限額約束而不是繞過微信的域名校驗(yàn)。中轉(zhuǎn)域名仍然是已備案、可配置、可校驗(yàn)的合法域名微信的管控目標(biāo)「回調(diào)域名必須由開發(fā)者控制」并沒有被破壞。這個(gè)思路的另一個(gè)好處是 AppSecret 不用下發(fā)到各個(gè)業(yè)務(wù)系統(tǒng)。每個(gè)業(yè)務(wù)系統(tǒng)只需要知道中轉(zhuǎn)服務(wù)的地址敏感憑證統(tǒng)一收口在中轉(zhuǎn)服務(wù)里出問題時(shí)的排查面也小。3. 源碼拆解用 3 個(gè)接口實(shí)現(xiàn)無限回調(diào)登錄3.1 源碼目錄結(jié)構(gòu)一個(gè)入口、三個(gè)路由完整的實(shí)現(xiàn)只需要一個(gè) Node.js 服務(wù)依賴兩個(gè) npm 包整體結(jié)構(gòu)非常輕。我用 Express 寫路由axios 發(fā)請(qǐng)求實(shí)際生產(chǎn)里換成 PHP、Java 或 Go 重寫邏輯完全一樣核心就是那三個(gè)接口。wx-oauth-proxy/ ├── package.json ├── config.js └── server.jspackage.json 里只需要兩個(gè)依賴{ name: wx-oauth-proxy, version: 1.0.0, private: true, scripts: { start: node server.js }, dependencies: { express: ^4.19.0, axios: ^1.7.0 } }axios 用來向微信的 token 接口和用戶信息接口發(fā)請(qǐng)求比 Node 原生 http 模塊寫法更短錯(cuò)誤處理也更直觀。如果你所在團(tuán)隊(duì)不允許引入 axios用原生 https 模塊重寫這兩個(gè)請(qǐng)求也非常簡單。3.2 授權(quán)入口把業(yè)務(wù)回調(diào)地址存進(jìn)臨時(shí)會(huì)話config.js 是整個(gè)服務(wù)的唯一配置入口公眾號(hào)憑證、中轉(zhuǎn)域名、會(huì)話過期時(shí)間都放這里。AppSecret 統(tǒng)一由中轉(zhuǎn)服務(wù)保管絕不向下分發(fā)module.exports { // 公眾號(hào)后臺(tái)「基本配置」里拿到的 AppID 和 AppSecret appid: wxYOUR_APPID, appsecret: YOUR_APP_SECRET, // 中轉(zhuǎn)服務(wù)的對(duì)外域名 // 必須與公眾號(hào)后臺(tái)「網(wǎng)頁授權(quán)域名」配置完全一致不帶協(xié)議頭 proxyHost: https://oauth.example.com, // 用戶停留在微信授權(quán)頁的允許時(shí)長單位秒 // 用戶可能在微信里猶豫很久建議給 10 分鐘 sessionTtl: 600 };server.js 里授權(quán)入口路由是業(yè)務(wù)系統(tǒng)對(duì)接的第一個(gè)接口。它接收業(yè)務(wù)系統(tǒng)的回調(diào)地址和 state生成一個(gè)短會(huì)話 id然后把用戶送去微信授權(quán)頁const express require(express); const axios require(axios); const config require(./config); const WECHAT_AUTHORIZE_URL https://open.weixin.qq.com/connect/oauth2/authorize; const WECHAT_TOKEN_URL https://api.weixin.qq.com/sns/oauth2/access_token; const WECHAT_USERINFO_URL https://api.weixin.qq.com/sns/userinfo; // 臨時(shí)會(huì)話存儲(chǔ)sid - { redirectUri, state } // 單機(jī)部署用 Map 足夠多實(shí)例部署必須換 Redis 并設(shè)置同樣的 TTL const pendingRedirect new Map(); // 生成短隨機(jī)串作為會(huì)話 id不使用業(yè)務(wù)傳參直接做 key function genSessionId() { return Math.random().toString(36).slice(2) Date.now().toString(36); } app.get(/wx/oauth/authorize, (req, res) { const redirectUri req.query.redirect_uri; // 業(yè)務(wù)系統(tǒng)自己的回調(diào)地址 const state req.query.state || ; // 業(yè)務(wù)系統(tǒng)希望原樣帶回的參數(shù) const scope req.query.scope || snsapi_base; if (!redirectUri) { return res.status(400).send(missing redirect_uri); } const sid genSessionId(); pendingRedirect.set(sid, { redirectUri, state }); setTimeout(() pendingRedirect.delete(sid), config.sessionTtl * 1000); // 注意微信最終回調(diào)的是中轉(zhuǎn)域名不是業(yè)務(wù)域名 const authorizeUrl WECHAT_AUTHORIZE_URL ?appid config.appid redirect_uri encodeURIComponent(config.proxyHost /wx/oauth/callback) response_typecode scope scope state sid #wechat_redirect; res.redirect(authorizeUrl); });這里最關(guān)鍵的設(shè)計(jì)是業(yè)務(wù)系統(tǒng)的真實(shí)回調(diào)地址沒有直接暴露給微信而是存進(jìn)了服務(wù)端臨時(shí)會(huì)話。微信 URL 里的 state 只是一個(gè)短隨機(jī)串長度可控也不會(huì)有 URL 編碼和特殊字符問題。scope 參數(shù)需要業(yè)務(wù)系統(tǒng)傳還是由中轉(zhuǎn)統(tǒng)一決定我一般讓業(yè)務(wù)系統(tǒng)傳入默認(rèn) snsapi_base。snsapi_base 是靜默授權(quán)用戶無感知適合純登錄場(chǎng)景snsapi_userinfo 需要用戶點(diǎn)擊確認(rèn)授權(quán)能拿到昵稱頭像適合需要展示用戶資料的場(chǎng)景。如果你拿捏不準(zhǔn)默認(rèn) snsapi_base 最穩(wěn)。3.3 微信回調(diào)解開會(huì)話回跳到業(yè)務(wù)系統(tǒng)回調(diào)接口是微信服務(wù)器主動(dòng)訪問的必須能被公網(wǎng)訪問到路徑要和 authorize 里拼的保持一致app.get(/wx/oauth/callback, async (req, res) { const code req.query.code; const sid req.query.state; const pending pendingRedirect.get(sid); pendingRedirect.delete(sid); // 一次性使用用完即刪 if (!code || !pending) { return res.status(400).send(invalid callback params); } // 拼接業(yè)務(wù)系統(tǒng)的原回調(diào)地址code 和業(yè)務(wù)自己的 state 都要帶上 const sep pending.redirectUri.includes(?) ? : ?; res.redirect( pending.redirectUri sep code encodeURIComponent(code) state encodeURIComponent(pending.state) ); });拼接分隔符時(shí)我用了一個(gè)三元判斷如果業(yè)務(wù)回調(diào)地址本身帶了 query 參數(shù)就用連接否則用?。這個(gè)細(xì)節(jié)很容易被忽略業(yè)務(wù)回調(diào)地址恰好帶參時(shí)漏掉這個(gè)判斷就會(huì) code 參數(shù)丟失微信那邊表現(xiàn)為登錄失敗但日志里找不到任何報(bào)錯(cuò)。pendingRedirect.delete(sid)這行是血淚經(jīng)驗(yàn)換來的。微信的 code 是嚴(yán)格一次性的但業(yè)務(wù)回調(diào)地址對(duì)應(yīng)的會(huì)話本該也是一次性的如果不刪除用戶刷新一下頁面就會(huì)重復(fù)消費(fèi)同一個(gè) code緊接著報(bào) 40163。每次進(jìn)入回調(diào)先刪再判斷等于主動(dòng)把這個(gè)風(fēng)險(xiǎn)摁掉。3.4 換 token 與用戶信息AppSecret 只留在中轉(zhuǎn)服務(wù)業(yè)務(wù)系統(tǒng)收到 code 后下一步就是換 openid。這套設(shè)計(jì)里業(yè)務(wù)系統(tǒng)不需要知道 AppSecret它只需要向中轉(zhuǎn)服務(wù)要結(jié)果app.get(/wx/oauth/token, async (req, res) { const code req.query.code; if (!code) return res.status(400).send(missing code); const tokenResp await axios.get(WECHAT_TOKEN_URL, { params: { appid: config.appid, secret: config.appsecret, code: code, grant_type: authorization_code } }); const data tokenResp.data; if (data.errcode) { // 常見40029 code 無效40163 code 已被使用 return res.status(400).json(data); } res.json({ openid: data.openid, access_token: data.access_token, refresh_token: data.refresh_token, expires_in: data.expires_in, scope: data.scope }); }); app.get(/wx/oauth/userinfo, async (req, res) { const accessToken req.query.access_token; const openid req.query.openid; if (!accessToken || !openid) return res.status(400).send(missing params); const userResp await axios.get(WECHAT_USERINFO_URL, { params: { access_token: accessToken, openid: openid, lang: zh_CN } }); const data userResp.data; if (data.errcode) return res.status(400).json(data); res.json({ openid: data.openid, nickname: data.nickname, headimgurl: data.headimgurl, unionid: data.unionid }); }); app.listen(3000, () { console.log(wx oauth proxy listening on 3000); });token 接口返回的 access_token 是「網(wǎng)頁授權(quán) access_token」有效期 2 小時(shí)和公眾號(hào)全局 access_token 不是同一個(gè)東西不要混用。如果業(yè)務(wù)系統(tǒng)只需要 openid 做登錄態(tài)那 access_token 甚至可以不返回直接返回 openid 和用戶資料即可越少字段泄露越好。userinfo 接口依賴 scope 是 snsapi_userinfo。如果 authorize 時(shí)用的是 snsapi_base調(diào) userinfo 會(huì)報(bào)錯(cuò)因?yàn)殪o默授權(quán)根本拿不到訪問用戶資料的憑證。這個(gè)接口只對(duì)需要昵稱頭像的場(chǎng)景開放。4. 配置與部署公眾號(hào)后臺(tái) 4 個(gè)必填項(xiàng) 一條 curl 驗(yàn)證全鏈路4.1 公眾號(hào)后臺(tái)的配置順序AppID、AppSecret、IP 白名單、網(wǎng)頁授權(quán)域名代碼寫完先別急著啟動(dòng)公眾號(hào)后臺(tái)的配置順序錯(cuò)了后面全是坑。整個(gè)配置集中在「設(shè)置與開發(fā)」里按下面順序來配置項(xiàng)位置必填值常見錯(cuò)誤AppID基本配置 → 公眾號(hào)開發(fā)信息以 wx 開頭的 18 位字符串填成了原始 IDAppSecret基本配置 → 公眾號(hào)開發(fā)信息32 位字符串泄露到了前端代碼里IP 白名單基本配置 → IP 白名單中轉(zhuǎn)服務(wù)器的公網(wǎng) IP沒配置調(diào)用 token 接口報(bào) 40164網(wǎng)頁授權(quán)域名公眾號(hào)設(shè)置 → 功能設(shè)置中轉(zhuǎn)域名如 oauth.example.com帶了 https:// 或路徑AppSecret 的 IP 白名單只對(duì) api.weixin.qq.com 的調(diào)用生效你服務(wù)器 IP 變了token 接口立刻返回「invalid ip ... from x.x.x.x」。我踩過一次本地調(diào)試時(shí)把家里 IP 加進(jìn)去了第二天到公司又報(bào)錯(cuò)最后把白名單配成了 0.0.0.0/0 才消停但這樣安全性會(huì)降低能用云服務(wù)器的固定出口 IP 就不要偷懶。網(wǎng)頁授權(quán)域名填的是不帶協(xié)議頭、不帶路徑的裸域名。填oauth.example.com就只填這一行后面的/wx/oauth/callback是代碼里拼的跟后臺(tái)配置無關(guān)。后臺(tái)校驗(yàn)的是 host 部分協(xié)議頭、端口、路徑統(tǒng)統(tǒng)不認(rèn)。4.2 Nginx 反代與 HTTPS回調(diào)域名必須公網(wǎng)可訪問微信服務(wù)器回調(diào)你的域名時(shí)走的是公網(wǎng) HTTPS所以中轉(zhuǎn)服務(wù)前面必須有一個(gè)能完成 TLS 終止的入口。常見做法是 Nginx 反代到 Node 服務(wù)的 3000 端口同時(shí)配好 HTTPS 證書。server { listen 443 ssl; server_name oauth.example.com; ssl_certificate /etc/nginx/cert/oauth.pem; ssl_certificate_key /etc/nginx/cert/oauth.key; location / { proxy_pass http://127.0.0.1:3000; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-Proto $scheme; } }域名必須是公網(wǎng) DNS 可解析的證書不能過期443 端口不能被防火墻擋掉。微信官方要求回調(diào)地址必須是 HTTPS所以妥協(xié)會(huì)被直接攔下來。國內(nèi)服務(wù)器還要注意域名備案未備案域名在微信側(cè)的校驗(yàn)基本過不了這個(gè)提前確認(rèn)好不然后面改域名改到想罵人。4.3 用 curl 和 Postman 驗(yàn)證回調(diào)鏈路完整閉環(huán)部署完成后第一件事不是寫業(yè)務(wù)代碼而是手動(dòng)驗(yàn)證整條鏈路。用瀏覽器打開 authorize 鏈接觀察跳轉(zhuǎn)過程# 瀏覽器手動(dòng)訪問下面的地址微信會(huì)跳轉(zhuǎn)到中轉(zhuǎn)服務(wù)再回到業(yè)務(wù)系統(tǒng) curl -v https://open.weixin.qq.com/connect/oauth2/authorize?appidwxYOUR_APPIDredirect_urihttps%3A%2F%2Foauth.example.com%2Fwx%2Foauth%2Fcallbackresponse_typecodescopesnsapi_basestatedemo#wechat_redirect#wechat_redirect是微信要求的固定后綴存在 URL 片段里瀏覽器不會(huì)把它發(fā)送到服務(wù)器curl 訪問時(shí)會(huì)忽略它這是正常的。如果一切正常瀏覽器最終會(huì)落在你配置的業(yè)務(wù)回調(diào)地址上URL 里帶 code 和 state 兩個(gè)參數(shù)。拿到 code 后用 Postman 或者 curl 模擬登錄接口調(diào)用驗(yàn)證換 token 是否成功curl -s https://api.weixin.qq.com/sns/oauth2/access_token?appidwxYOUR_APPIDsecretYOUR_APP_SECRETcodeCODEgrant_typeauthorization_code正常情況下返回的 JSON 里包含 openid、access_token、expires_in 和 scope。如果返回 errcode先看 errmsg常見的 40029 表示 code 無效或已被使用需要重新走一遍授權(quán)流程。用 Postman 模擬登錄接口調(diào)用時(shí)要特別注意授權(quán)頁到回調(diào)的過程必須在真實(shí)瀏覽器里完成Postman 只能模擬第二步的 token 換取。因?yàn)?authorize 鏈接需要用戶登錄微信確認(rèn)這一步繞不開真實(shí)環(huán)境。5. 無限回調(diào)登錄的 5 個(gè)踩坑記錄從報(bào)錯(cuò)碼到日志排查5.1 現(xiàn)象微信提示「鏈接內(nèi)容不屬于當(dāng)前公眾號(hào)」用戶從公眾號(hào)菜單點(diǎn)進(jìn)頁面頁面內(nèi)跳轉(zhuǎn)到業(yè)務(wù)系統(tǒng)后微信直接攔截提示「鏈接內(nèi)容不屬于當(dāng)前公眾號(hào)」。這個(gè)報(bào)錯(cuò)最容易出現(xiàn)在頁面里嵌入了其他域名資源或者頁面跳轉(zhuǎn)到了沒有在公眾號(hào)后臺(tái)配置的域名。原因微信內(nèi)置瀏覽器會(huì)校驗(yàn)?zāi)闼陧撁娴挠蛎凸娞?hào)后臺(tái)配置的可信域名是否匹配。中轉(zhuǎn)域名只解決了網(wǎng)頁授權(quán)回調(diào)的校驗(yàn)如果業(yè)務(wù)頁面里有靜態(tài)資源來自另一個(gè)域名或者業(yè)務(wù)系統(tǒng)又做了一次二次跳轉(zhuǎn)微信同樣會(huì)攔截。解決把業(yè)務(wù)系統(tǒng)用到的所有靜態(tài)資源域名加進(jìn)「JS 接口安全域名」業(yè)務(wù)頁面盡量不要二次跨域跳轉(zhuǎn)。如果業(yè)務(wù)地址確實(shí)需要重定向讓中轉(zhuǎn)服務(wù)的回調(diào)直接落地到最終頁面而不是落到一個(gè)中間頁再跳一次。這一步很玄學(xué)明明鏈路通著微信就是不放過你最后你會(huì)發(fā)現(xiàn)就是多跳了一次的問題。5.2 現(xiàn)象code 換 token 報(bào) 40029 或 40163回調(diào)成功了但調(diào) token 接口時(shí)微信返回 40029code 無效或 40163code 已被使用。原因微信的 code 是嚴(yán)格一次性的有效期 5 分鐘使用過一次立即失效。兩個(gè)常見場(chǎng)景會(huì)觸發(fā)一是業(yè)務(wù)系統(tǒng)拿到 code 后又刷新了一次頁面導(dǎo)致同一個(gè) code 被消費(fèi)兩次二是中轉(zhuǎn)服務(wù)的 callback 接口把 code 302 回業(yè)務(wù)系統(tǒng)后業(yè)務(wù)系統(tǒng)又拿這個(gè) code 直接去調(diào)微信 token 接口而你中轉(zhuǎn)服務(wù)也調(diào)了一次兩邊搶同一個(gè) code。解決把換 token 的邏輯完全收斂到中轉(zhuǎn)服務(wù)的/wx/oauth/token業(yè)務(wù)系統(tǒng)只認(rèn)最終返回的 openid不允許業(yè)務(wù)側(cè)直連微信 token 接口。同時(shí)callback 接口里記得加一行日志記錄 code 的前四位和來源 IP排查時(shí)能快速確認(rèn)是不是重復(fù)消費(fèi)。5.3 現(xiàn)象redirect_uri 參數(shù)錯(cuò)誤域名與回調(diào)地址對(duì)不上瀏覽器訪問 authorize 鏈接后微信直接跳到錯(cuò)誤頁提示 redirect_uri 參數(shù)錯(cuò)誤。原因公眾號(hào)后臺(tái)的網(wǎng)頁授權(quán)域名與 authorize 鏈接里 redirect_uri 的 host 不一致。常見的有三種寫法錯(cuò)誤后臺(tái)配了oauth.example.com但鏈接里寫成了oauth.example.com/wx/callback的完整路徑——路徑本身沒問題問題往往出在協(xié)議頭上或者后臺(tái)配置時(shí)帶了https://前綴微信把整個(gè)字符串當(dāng)成域名處理了。解決把后臺(tái)域名清成純域名不帶協(xié)議、不帶端口、不帶路徑。然后核對(duì)中轉(zhuǎn)服務(wù) config.js 里的 proxyHost 和后臺(tái)配置的域名必須完全一致連大小寫都不能差。我建議在 config.js 里加一個(gè)啟動(dòng)時(shí)自檢打印出 proxyHost 和 appid每次部署后看一眼避免配錯(cuò)環(huán)境。5.4 現(xiàn)象state 參數(shù)丟了或亂碼業(yè)務(wù)側(cè)對(duì)不上會(huì)話業(yè)務(wù)系統(tǒng)明明傳了 state回調(diào)回來時(shí) state 變成了別的值或者直接沒有。原因微信對(duì) state 的約束是「原樣回傳」但很多人在拼 authorize 鏈接時(shí)對(duì) state 做了二次 URL 編碼微信回跳后解碼一次自己也解碼一次兩層嵌套編碼互相抵消導(dǎo)致亂碼。另一個(gè)原因是把業(yè)務(wù)回調(diào)地址直接塞進(jìn) stateURL 太長被瀏覽器或微信截?cái)?。解決業(yè)務(wù)系統(tǒng)傳給中轉(zhuǎn)服務(wù)的 state 只放短字符串比如用戶會(huì)話 id 或隨機(jī)串不要放完整 URL。中轉(zhuǎn)服務(wù)回跳時(shí)對(duì) state 做一次 encodeURIComponent 就夠前端拿到后 decodeURIComponent 一次。至于業(yè)務(wù)回調(diào)地址已經(jīng)被存進(jìn)臨時(shí)會(huì)話了根本不需要進(jìn) state別把它放進(jìn)去。5.5 現(xiàn)象本地聯(lián)調(diào)時(shí)微信回調(diào)打不到 localhost代碼在本地跑得好好的微信公眾號(hào)測(cè)試號(hào)也配了但微信回調(diào)就是不到本地服務(wù)。原因微信服務(wù)器訪問的是公網(wǎng)localhost 只有你本地機(jī)器能訪問。常見的錯(cuò)誤是以為配了公眾號(hào)后臺(tái)的網(wǎng)頁授權(quán)域名就等于微信能訪問到你本機(jī)的服務(wù)。解決本地聯(lián)調(diào)不要用 localhost用一臺(tái)有公網(wǎng) IP 的測(cè)試服務(wù)器把測(cè)試服務(wù)器地址配成網(wǎng)頁授權(quán)域名。個(gè)人開發(fā)者建議直接用微信公眾號(hào)測(cè)試號(hào)調(diào)試測(cè)試號(hào)后臺(tái)可以獨(dú)立配置網(wǎng)頁授權(quán)域名不占用正式號(hào)的配置額度。注意測(cè)試號(hào)的網(wǎng)頁授權(quán)同樣要求公網(wǎng)可達(dá)的 HTTPS 地址本地起服務(wù)加一層內(nèi)網(wǎng)映射工具也能做開發(fā)驗(yàn)證但生產(chǎn)環(huán)境永遠(yuǎn)不要依賴這類鏈路。6. 進(jìn)階把無限回調(diào)改造成多公眾號(hào)共用的登錄中心6.1 多公眾號(hào)共用一個(gè)中轉(zhuǎn)用 appid 參數(shù)路由當(dāng)你有多個(gè)公眾號(hào)或一個(gè)主體下多個(gè)服務(wù)號(hào)時(shí)中轉(zhuǎn)服務(wù)可以升級(jí)成登錄中心。config.js 從單一 appid 改成配置組根據(jù)請(qǐng)求里的 appid 參數(shù)動(dòng)態(tài)選擇對(duì)應(yīng)的憑證// config.js module.exports { apps: { wxYOUR_APPID_1: { appsecret: SECRET_1, name: 官網(wǎng)登錄 }, wxYOUR_APPID_2: { appsecret: SECRET_2, name: 管理后臺(tái)登錄 } }, proxyHost: https://oauth.example.com, sessionTtl: 600 };authorize 接口增加一個(gè)必傳的 appid 參數(shù)callback 和 token 接口從會(huì)話里取出 appid再用它去找對(duì)應(yīng)的 AppSecret。業(yè)務(wù)系統(tǒng)各自傳自己的 appid互不干擾。這樣一個(gè)中轉(zhuǎn)域名就能支撐多個(gè)公眾號(hào)的登錄回調(diào)后臺(tái)的網(wǎng)頁授權(quán)域名配置依然只此一個(gè)。6.2 驗(yàn)證登錄閉環(huán)的每日檢查清單登錄鏈路是典型的黑匣子跳轉(zhuǎn)多、環(huán)節(jié)多出錯(cuò)時(shí)頁面往往只顯示一個(gè)空白或錯(cuò)誤碼。我現(xiàn)在的習(xí)慣是每上線前手動(dòng)走一遍完整流程只看三處日志中轉(zhuǎn)服務(wù)的訪問日志里authorize 請(qǐng)求是否出現(xiàn)sid 是否正確生成。微信回調(diào)到 callback 接口后session 能否正常取出code 是否只被消費(fèi)一次。token 接口返回的 openid 是否和預(yù)期用戶一致scope 是 snsapi_base 還是 snsapi_userinfo。如果第 2 步出現(xiàn) session 取不到基本可以斷定是會(huì)話過期或回調(diào)地址拼錯(cuò)第 3 步的 openid 每次登錄都變化大概率是 appid 和 AppSecret 配錯(cuò)了號(hào)。檢查清單固定下來之后這個(gè)方案的問題基本都能在五分鐘內(nèi)定位不用再靠玄學(xué)猜。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取