微信小程序登录全解析，从零到上线实战指南

微信小程序登录这件事，看起来简单，做起来坑不少。我刚接触小程序开发那会儿，以为就是个wx.login然后拿code换openid的事，结果真正上线的时候，被各种细节折磨得够呛。今天这篇东西，就是把我踩过的坑、总结出来的经验，从头到尾捋一遍，给准备做小程序或者正在做小程序的你，一份能直接照着干的实操手册。

先说最基础的一步，wx.login。这个接口是小程序登录的起点，它不需要用户授权，调用了就能拿到一个临时凭证code，有效期只有五分钟。很多人一开始就栽在这儿——以为code就是登录态，直接拿它当token用，那肯定不行。code是给开发者服务器用的，你得拿着它去请求微信的接口，换取openid和session_key。这一步必须在你自己后端完成，不能放在小程序前端，否则你的AppSecret就泄露了，那相当于把用户数据的大门敞开了。我见过有新手把AppSecret直接写在前端代码里，结果被同行扒出来，那叫一个惨。

拿到openid之后，问题就来了——openid是每个用户在每个小程序下唯一的，但同一个用户在不同小程序下的openid不一样。如果你有多个小程序，想统一用户体系，就得用unionid。这玩意儿需要你在微信开放平台绑定小程序，用户关注了同主体的公众号或者在多个小程序里登录过，你才能拿到unionid。很多团队做用户系统时没考虑这事儿，后期想打通数据，发现得改登录逻辑，那工作量就大了。我建议从第一天起，后端就同时存openid和unionid，哪怕现在用不上，也别把后路堵死。

接着是session_key，这玩意儿比code还容易被人忽略。session_key是加密会话密钥，用来解密用户手机号、获取用户信息这些敏感操作。它有个特点——每次wx.login之后，session_key都会变，而且旧的会失效。很多人把session_key存在前端，然后下次用的时候发现解密失败，排查半天才发现是session_key过期了。正确做法是：前端每次调用wx.login拿到新code，后端拿code换session_key，然后把这个session_key和openid绑定，存在你自己的session里，给前端发一个自定义的登录凭证，比如token。这个token才是你后续请求的身份标识，别把微信的东西直接当前端登录态。

再说用户信息授权。微信后来改过规则，用户头像和昵称不再强制通过getUserProfile获取了，现在有了头像昵称填写能力，就是让用户自己点一下选择头像和填昵称，更轻量。但这里有个关键点——你千万别在用户一进来就弹窗要授权，微信对这种情况会警告甚至限制。我见过很多小程序死在这上面，用户刚打开页面就蹦出"请授权你的个人信息"，体验极差，直接关掉。正确节奏是：用户需要某个功能时才触发授权，比如他要发布内容，你才让他填昵称选头像。而且，授权信息拿到后，一定要后端校验，别信任前端传过来的任何数据，前端是可以被伪造的。

还有一个隐藏的坑，就是静默登录和主动登录的区别。wx.login是静默的，用户无感知，适合做自动登录。但如果你需要手机号，那就得用getPhoneNumber，这是需要用户点击触发的，而且这个按钮必须是button组件，用open-type="getPhoneNumber"来绑定。这个接口返回的encryptedData和iv，你得拿session_key去解密，才能拿到真实手机号。很多团队在这里又踩坑——解密失败，十有八九是session_key不对，因为前端在调用getPhoneNumber之前，可能又去调了一次wx.login，把session_key刷新了，而后端还拿着旧的去解密。所以流程要设计好，前端在拿到手机号之前，不要轻易刷新session_key。

登录态保持也是个学问。你后端签发的token，得有效期，比如7天或者30天。但用户不可能天天打开小程序，所以你要做静默续期。就是说，当用户带着一个快过期的token来请求时，后端顺手签发一个新的token返回去，前端下次请求时替换掉。这个机制能让用户感知不到登录过期，一直"暗搓搓"地保持着登录状态。我见过有的团队把token有效期设得很长，比如一年，结果用户换设备或者账号被盗，风险就大了。token有效期适中，配合静默续期，才是稳妥的做法。

说说上线前必须检查的几个点。第一，你的后端接口必须加IP白名单，微信公众平台可以配置，只允许你服务器的IP请求微信接口，防止别人盗用你的AppSecret去调用。第二，加密数据解密一定要用官方提供的demo，别自己造轮子，AES的CBC模式、PKCS7Padding这些细节，自己写很容易出错。第三，一定得做异常监控，登录是用户进入小程序的第一道门，如果登录接口挂了，所有功能都瘫痪。我建议接入微信的告警群，接口报错能第一时间通知到人。第四，测试的时候别只测正常流程，要模拟网络超时、断网重连、多设备同时登录这些场景，很多线上问题都是这些边缘情况导致的。

微信小程序的登录体系，说白了就是一套"前端拿code、后端换身份、token管会话、解密靠密钥"的流程。它不难，但细节多，任何一个环节想当然，都会让你在开发后期甚至上线后付出代价。我见过太多项目，功能做得挺好，结果登录这块儿漏洞百出，用户一多就崩。把上面这些点一个个落实，你的登录模块就能稳如老狗。从零到上线，这条路我已经替你走了一遍，照着这个思路去做，至少能让你少走几个月的弯路。