微信小程序登录开发，完整流程与文档解析

微信小程序登录开发这事儿，看起来简单，做起来坑不少。官方文档写得不算复杂，但真上手时，很多人还是会被那些回调、参数、状态码绕晕。我见过不少开发者在群里问：“为什么我调了wx.login()，但拿不到用户信息？”或者“这个code到底怎么换成openid？”其实，微信小程序的登录流程设计得很精巧，核心就三步：拿到临时code，换到唯一标识，再绑定业务逻辑。但每一步都藏着细节，今天咱们就掰开揉碎聊聊这个完整流程，顺便把文档里那些容易忽略的地方翻出来晒晒。

先说说第一步，wx.login()这个接口。很多人以为调完它就完事了，其实它只是生成了一个临时凭证，有效期只有五分钟。这个code是动态的，每次调用都不一样，而且只能用一次。文档里写得很明白：code用于换取session_key和openid，但session_key是会话密钥，不能传给前端，否则有安全风险。可现实中，不少新手直接把code发到自己的服务器，然后服务器拿着code去调微信接口，这步没错，但很多人忘了校验code是否过期。我见过一个案例，用户登录后操作到一半，session_key失效了，结果所有请求都报错。所以，正确做法是在前端每次需要登录时才调wx.login()，而不是缓存下来重复用。

拿到code后，服务器端要调微信的接口：https://api.weixin.sns/jscode2session。这个接口的参数有四个：appid、secret、js_code（就是code）、grant_type（固定为authorization_code）。返回的数据包括openid、session_key，如果用户关注了公众号，还会返回unionid。但有个坑：unionid只有在用户关注了同主体的公众号或绑定了开放平台账号时才会返回。如果你只依赖unionid做多平台打通，遇到未关注用户就傻了。所以，大多数场景下，openid就够用了。另外，文档里强调session_key不能泄露，但很多服务器直接把session_key存在数据库当token用，这其实不对，因为微信会定期刷新session_key，你存的可能是过期的。

接下来是用户信息的获取。很多人以为调了wx.login()就能拿头像昵称，其实不是。wx.getUserProfile()这个接口在2021年改版后，需要用户主动点击按钮才能触发，而且返回的数据里，头像和昵称可能不是真实的。因为微信为了隐私保护，现在默认返回的是“微信用户”和默认头像，除非用户在小程序里主动授权并填写。所以，如果你需要用户真实的头像昵称，得引导用户手动上传或填写，而不能依赖接口自动获取。这点在文档的更新日志里有写，但很多人没仔细看，以为改个版本号就完事了。

登录状态的维护是另一个容易踩坑的地方。拿到openid和session_key后，你需要在服务器生成一个自定义的登录态token，比如用JWT。这个token要返回给前端，前端存到storage里，每次请求时带上。但有个问题：微信小程序的storage是同步的，而且容量有限，存太多东西会影响性能。更关键的是，token过期后，前端得自动跳转到登录页重新调wx.login()。很多开发者图省事，把token有效期设得很长，结果用户换了设备或者清缓存后，旧token还在用，导致数据错乱。我建议token有效期设为一小时，配合refresh_token机制，这样既安全又流畅。文档里没强制要求，但这是行业最佳实践。

再说说unionid的获取。如果你只是做一个小程序，openid就够了。但如果你有多个小程序或公众号，想统一用户数据，就得拿到unionid。方法有两种：一是用户授权后，通过wx.getUserInfo()接口获取加密数据，然后用session_key解密得到unionid；二是通过开放平台绑定，让微信返回unionid。第一种方法麻烦在解密，需要依赖微信提供的解密算法，而且session_key会变，解密失败的概率不低。第二种方法简单，但前提是你得有一个微信开放平台账号，并且把小程序绑定上去。文档里对这部分写得比较隐晦，很多人翻半天才找到。我建议优先用第二种，省心。

安全方面，文档里反复提：不要在前端暴露appid和secret。但有些小团队为了方便，把secret写在前端代码里，这等于把钥匙挂在门上。正确做法是，服务器端调微信接口时，用https协议，并且限制IP白名单。还有，session_key获取后，一定要用随机密钥加密存储，不能明文存。我见过一个案例，黑客通过抓包拿到了session_key，然后伪造请求拿到了用户手机号，导致用户账号被盗。这类事件虽然不常见，但一旦发生，修复成本极高。

测试时要注意环境区分。微信小程序的开发工具里，有个“测试账号”功能，可以模拟登录，但返回的openid是假的，而且session_key也是固定的。很多人用这个测试完上线后，发现真实用户登录不了，就是因为code换openid的接口在生产环境需要正确的appid和secret。另外，发布前一定要检查是否开启了“服务器域名”白名单，否则接口请求会被拦截。文档里有个“常见问题”章节，但很多人看完就忘，结果上线后手忙脚乱。我建议，登录流程写完以后，至少跑三遍：正常流程、网络异常、token过期，确保每种情况都有处理逻辑。

总的来说，微信小程序登录开发，文档是骨架，但血肉得自己填。从wx.login()到自定义token，每一步都有隐藏的规则和边界条件。别指望文档能覆盖所有场景，比如用户拒绝授权、网络超时、多设备登录冲突这些，都得靠经验来补。如果你刚开始做，建议先画一个流程图，把每个节点的状态和异常处理写清楚，再动手写代码。这样虽然慢，但少踩坑。毕竟，用户登录体验直接决定留存率，没人愿意在一个反复登录的小程序里浪费时间。