微信小程序登录开发实战，三步搞定授权与用户信息

搞微信小程序开发，登录功能是绕不过去的第一道坎。很多新手一上来就被各种授权弹窗、用户信息获取搞得头大，网上教程要么太老，要么讲得云里雾里。其实说白了，微信小程序的登录就三件事：拿到临时code、换取openid或unionid、获取用户手机号或头像昵称。这三步搞清楚了，整个登录流程就通了。我见过太多项目因为登录设计不合理，用户一打开就弹授权窗口，结果直接流失一半。今天咱们就聊聊，怎么用最干净的方式把这套流程跑通。

先说第一步，获取临时登录凭证code。这是整个登录链条的起点，微信官方叫wx.login接口。调用这个接口不需要用户同意什么，它就是个纯技术操作，返回一个有效期只有5分钟的临时凭证。很多开发者容易犯一个错，以为登录就得先让用户授权，其实不对。wx.login是静默的，你完全可以一进入小程序就调它。拿到code之后，通过你自己的后端服务器发给微信的服务器，微信那边会返回一个openid和session_key。openid就是用户在你这个小程序里的唯一标识，session_key是用来解密用户敏感数据的钥匙。这里有个细节，session_key千万不能泄露给前端，也不能自己存下来，每次用的时候拿code去换就行。很多安全漏洞都是因为前端页面把session_key暴露了，别人拿到就能冒充用户。

第二步，用code换取用户身份信息。这一步得靠你自己的后端服务器来完成。前端把code传给你，你用这个code加上小程序的appid和appsecret，去调微信的接口。返回的数据里，openid是必须要拿到的，至于unionid，那是微信开放平台的东西，只有你的小程序绑定了开放平台账号，并且用户也关注了同主体的公众号，才拿得到。大多数场景下，光有openid就够了。拿到openid之后，你可以在自己的数据库里创建或更新用户记录，生成自己的session或token，然后返回给前端。前端拿到这个token，之后的请求都带上它，服务器就知道是谁在操作了。这一步的核心是，别让前端直接接触openid，所有身份校验都放在后端做。我见过有人直接把openid存到前端localStorage里当用户标识，结果被人抓包篡改数据，整个用户体系全乱套。

第三步，按需获取用户信息。很多人以为登录就必须拿到用户头像昵称，其实完全不是这么回事。微信早就改了规则，现在想要获取用户的头像昵称，得用wx.getUserProfile接口，而且得用户主动点击按钮触发。更关键的是，微信官方推荐的做法是：能不给就别给，能晚给就晚给。你想想，用户刚打开小程序，连你是干嘛的都没搞清楚，上来就要授权，他凭什么给你？更好的做法是，先用wx.login拿到openid，让用户能正常使用核心功能，等用户需要发帖、评论、下单这些需要展示身份的场景时，再弹个友好的说明：“展示头像和昵称能让大家更好地认识你”，这时候用户才愿意给。手机号授权也是一样的逻辑，等用户真要下单或注册时再要，别一上来就堵门口。

还有一个容易踩的坑，是用户拒绝授权后的处理。很多开发者在用户拒绝授权后直接弹一个“请授权”的提示，或者更粗暴地退出小程序。这用户体验能好吗？用户可能只是手滑点错了，或者当时不想给，不代表他永远不想用。正确的做法是，用户拒绝后，你的小程序照样能运行，只是某些功能受限。比如没拿到手机号的用户，付款时引导他手动填写；没拿到头像昵称的用户，系统自动生成个“游客”的默认名字。等他后面想用高级功能了，再引导他重新授权。微信也提供了wx.openSetting接口，可以引导用户去设置页手动开启权限。记住一点：授权不是登录的前提，而是功能的补充。

再说说用户信息的安全存储。很多小公司直接把用户的所有信息明文存到数据库里，哪天数据库被拖了，用户数据全裸奔。别看头像昵称好像没啥机密，但手机号、openid这些一旦泄露，被人拿去批量注册或者搞社工攻击，后果很严重。正确做法是，手机号存的时候要做加密，openid和session_key分开存储，后台接口返回给前端时，只返回必要的业务数据，不要一股脑全抛出去。微信官方对用户数据安全的要求也很严格，一旦发现违规，轻则功能下架，重则封号。所以别图省事，该加密的加密，该脱敏的脱敏。

还有一个容易被忽略的点，是用户体验的连贯性。用户在小程序里登录后，下次再打开，应该自动保持登录状态。这就涉及到token的有效期管理。我建议的做法是，后端返回的token设置一个合理的过期时间，比如7天或30天。前端存到storage里，每次请求时带上。如果后端检测到token过期，返回一个特定的错误码，前端就重新调wx.login走一遍流程。但要注意，重新登录的过程要尽量无感，不要让用户再点一次授权按钮。你可以在后台默默完成，用户完全察觉不到。很多大厂的小程序就是这么做的，你打开它，看着是直接进入首页，实际上后台已经帮你在重新登录了。

说说测试和调试。微信小程序登录在开发环境和正式环境下的表现可能不一样。开发工具里模拟器跑得好好的，一到真机上就报错。最常见的问题有三个：一是appsecret配置错了，二是请求微信接口的服务器域名没在小程序后台配置白名单，三是本地开发时用了localhost但微信那边不认。解决办法是，先在微信开发者工具里用“预览”功能生成二维码，用真机扫码调试，看控制台报错信息。另外，微信官方提供了一个“登录流程调试”工具，在公众平台后台可以找到，能帮你一步步排查问题。别等到上线了才发现登录崩了，那时候再改就晚了。

微信小程序的登录，说到底就是一套授权与信息获取的流程。核心思路是：能静默的绝不弹窗，能后置的绝不前置，能精简的绝不冗余。你把这三步走顺了，用户进来顺畅，开发也不折腾。很多团队花大量精力搞花里胡哨的登录动画，却忽略了最基本的流程设计，结果用户还没看到内容就流失了。记住，登录不是目的，让用户用起来才是。