微信小程序开发，https配置避坑指南与实用技巧

打开微信开发者工具，兴冲冲地把写好的代码上传，结果预览一刷新，直接给你来个“request:fail”。不用猜，八成又是https在捣乱。这玩意儿看着简单，不就是加个证书吗？真折腾起来，坑一个接一个，能把脾气最好的程序员逼到骂娘。

我见过太多团队在https上栽跟头，有的是证书买错了，有的是配置顺序搞反了，还有的更冤，明明本地测试好好的，一上线就完蛋。今天就把这些年踩过的坑、试出来的土办法，一次性倒给你们。

先说说最基础的。微信小程序要求所有请求域名必须是https，而且必须在小程序后台配置合法域名。这个“合法”两个字，坑了多少人。很多人以为随便买个证书装上去就行，结果微信那边直接拒了。为什么？因为微信要求的是TLS版本不低于1.2，而且证书链必须完整。

什么叫证书链完整？就是你服务器上不光要有你的证书，还得把中间证书一起配上去。很多云服务商只给你发主证书，中间证书得自己去下。漏了中间证书，浏览器访问可能没事，但微信的检测机制特别严格，直接就给你拦下来。我有个朋友，折腾了整整两天，发现就是少了中间证书这一环。

再说说域名配置。微信后台要求填的域名必须是备案过的，而且不能带端口号。这两个限制坑了不少人。备案这事儿没得商量，只能老老实实去办。但端口号这个，其实有变通办法。如果你用的是443端口，那没问题，直接填域名就行。但如果你的服务跑在别的端口上，比如8443，那就尴尬了——微信不认带端口的域名。

解决办法有两种。一种是把服务改到443端口上，这是最省事的。另一种是用Nginx做反向代理，把443端口的请求转发到内部的其他端口。我个人推荐第二种，因为服务器上可能同时跑着好几个服务，都挤在443端口不现实。

接下来是个大坑，很多人栽在这儿：证书的更新问题。免费证书通常只有三个月有效期，比如Let's Encrypt的。三个月一到，证书过期，小程序直接挂掉。更坑的是，很多人的证书是自动续期的，但续期脚本配置不对，或者服务器上没装cron定时任务，结果到期了没人管。

我建议你们把证书到期时间写进监控系统里，提前一周提醒。或者干脆用付费证书，一年一换，省心不少。但不管免费还是付费，都得有个自动续期的方案。别指望自己记住，人都会忘，服务器不会。

还有个细节容易被忽略：域名解析。很多人配置好了证书，后台也填了域名，但就是连不上。这时候查一下DNS，八成是解析有问题。微信的域名检测是从公网发起的，所以你的域名必须能从外网正常解析到服务器IP。如果用了CDN，还得确保CDN节点上的证书也是有效的。

说到CDN，这里头也有讲究。用了CDN之后，证书要配在CDN节点上，不是配在你的源服务器上。很多人搞反了，证书配在源站，CDN节点上没配，结果微信访问CDN节点的时候，发现证书不匹配，直接拒绝。这事儿我见过不止一次，每次都是排查到才发现。

还有个容易踩的坑，是HTTP和HTTPS的混用。小程序里所有的请求都必须是https，但有时候你的页面里可能引用了http的资源，比如图片、脚本之类的。微信的检测很严格，只要有一个http请求，整个页面就给你拦下来。所以检查代码的时候，把所有http的引用都改成https，或者用协议相对URL。

有些开发者喜欢在开发阶段用http，本地调试没问题，一上线就忘了改。我建议你们在代码里写个全局配置，区分开发环境和生产环境，生产环境强制https，这样就不容易漏了。

再来说说证书格式的问题。服务器上常见的证书格式有PEM、CRT、KEY，Nginx用的是PEM格式。有些证书服务商给你的是其他格式，比如PFX或者JKS，需要转换一下。转换工具很多，OpenSSL就能干这事儿。但注意，转换的时候别把私钥给弄丢了，私钥丢了证书就废了。

说个很多人不知道的技巧：用泛域名证书。如果你有多个子域名，不用每个都单独买证书，一个泛域名证书就能覆盖所有子域名。这样不仅省钱，管理起来也方便。但注意，微信后台配置的时候，每个子域名还是要单独填的。

写到这里，该说的坑基本都提了。其实https配置这事儿，说难也难，说简单也简单。难在细节多，容易漏；简单在只要你按部就班，一步一步来，基本不会出大问题。我见过太多人栽在那些不起眼的细节上，比如中间证书、端口号、域名解析，这些坑只要提前知道，都能绕过去。

送大家一句话：https配置不是一锤子买卖，而是一个持续维护的过程。证书会过期，域名会变动，服务器也会出问题。保持警惕，定期检查，才能让小程序稳稳当当地跑下去。