微信小程序开发，获取用户唯一标识的完整指南

做小程序开发的，绕不开一个东西——openid。你辛辛苦苦写了个登录功能，结果发现服务端根本不知道用户是谁，所有请求都像匿名访问。这时候你就明白了，openid不是可选项，是刚需。它是微信给每个用户在当前小程序下的唯一身份证，同一个用户在不同小程序里拿到的是不同的openid，同一个小程序里的所有操作，都靠它来识别身份。

先把这个概念说清楚，很多人问“openid和unionid有什么区别”。简单讲，openid是小程序维度唯一的，你开发两个小程序，用户各有一个openid，互不相通。unionid是开放平台维度唯一的，前提是你把多个小程序绑到同一个开放平台账号下，才能拿到同一个unionid。对绝大多数中小开发者来说，openid够用了，unionid那是做矩阵、做跨端账号体系的才需要纠结的事。

接下来是重头戏——怎么拿。最常用的方式就是调`wx.login()`，这个方法会帮你换一个临时凭证code，有效期五分钟，只能用一次。拿到code之后，你把code传给自己的后端，后端拿这个code加上小程序的appid和appsecret，去微信的接口`https://api.weixin.sns/jscode2session`换session_key和openid。注意，这个接口必须服务端调，不能在小程序里直接请求，因为appsecret一旦暴露，你的小程序就裸奔了，任何人都能冒充你的服务端干坏事。

来，我直接给你贴一段后端的伪代码，方便你理解整个流程。前端就一行`wx.login({ success: res => { const code = res.code; wx.request({ url: '你的后端地址', data: { code } }) }})`。后端收到code后，拼接参数：`appid=你的appid&secret=你的appsecret&js_code=code&grant_type=authorization_code`，发一个GET请求过去。微信返回的JSON里，`openid`字段就是你要的东西，`session_key`是用来解密敏感数据的，比如手机号，别丢了，也别随便存。

有个坑必须提醒你，很多人拿不到openid是因为没搞懂code的时效性。你把code传给后端，后端去换，这中间如果延迟超过五分钟，或者code被用了两次，微信就直接报错，返回`errcode: 40029`，提示invalid code。所以别缓存code，每次登录都重新调`wx.login()`，用完就丢。另外，`wx.login()`跟`wx.getUserProfile()`是两码事，前者拿身份，后者拿用户头像昵称，别混着写。

拿到openid之后，别急着就完事了。你想想，每个用户每次打开小程序，`wx.login()`都会返回一个新的code，你每次都拿code换openid，没问题，但每次都调一次微信接口，没必要。更合理的做法是：第一次换到openid后，你在自己的数据库里存一份，同时给前端发一个自定义登录态，比如JWT或者随机token，存到storage里。下次用户再进来，先检查本地有没有token，有就直接带上token请求业务接口，后端验一下token有效就直接放行，不用再碰微信接口。这样既省流量，又降低微信接口调用频率，避免触发频率限制。

这里我多说一句，session_key这东西，很多人不知道怎么处理。它是用来配合`wx.getUserInfo`、`wx.getPhoneNumber`这些接口解密用户敏感信息的。但注意，session_key也会失效，而且它只在当前code有效期内可用。你拿code换到session_key之后，如果用户过两天再来，你拿旧的session_key去解密新数据，大概率是解不出来的。所以session_key别存太久，用一次换一次，保持新鲜度。

还有个容易被忽略的点，就是小程序的appsecret。这东西一定要放在服务端，最好用环境变量或者配置中心来管理，别硬编码在代码里，更别提交到git仓库。我见过不少开发者把appsecret写在云函数里，然后云函数代码随便让人下载，运气好没出事，运气不好，别人拿你的appsecret调接口，批量刷你的用户数据，你还没察觉。安全这块，再怎么小心都不为过。

总结一下，获取openid这件事，流程不复杂，但细节多。记住几个关键词：`wx.login()`拿code、后端换openid、token做会话管理、session_key按需更新、appsecret死守服务端。把这几点吃透了，你的小程序用户体系就稳了。别嫌麻烦，也别想走捷径，老老实实按微信的规矩来，后面做支付、做消息推送、做客服，都会顺畅很多。毕竟openid是你和用户之间唯一的暗号，搞定了它，后面的一切才谈得上开始。