微信网页授权获取用户信息

微信网页授权是微信公众号开发中用于获取用户身份信息的核心机制，基于OAuth2.0协议实现。它允许公众号在用户授权后，获取用户的OpenID、UnionID以及昵称、头像、性别、地区等基础资料。与基础接口不同，网页授权需要用户主动点击同意，且每次授权都需通过微信服务器校验。该机制适用于需要识别用户身份的H5网站、小程序内嵌网页等场景。

在开发前，开发者需要完成以下准备：注册已认证的服务号（个人订阅号无网页授权权限）、获取AppID与AppSecret、在公众平台“公众号设置”的“功能设置”中配置网页授权域名（需为已备案域名并支持HTTPS）。该域名是回调地址的基础，且不能包含“http://”或“https://”前缀，只能填写顶级域名或二级域名，如“example.com”。

网页授权分为两个Scope级别：snsapi_base与snsapi_userinfo。snsapi_base为静默授权，用户无感知，仅可获取OpenID和UnionID（若关联开放平台），无需重新关注公众号即可使用，适用于登录、绑定等场景。snsapi_userinfo则需要用户显式点击“确认登录”弹窗，授权后可获取完整的用户资料，如头像、昵称等。注意：已关注公众号的用户在请求snsapi_userinfo时，微信也会弹出授权确认框；且该授权仅对当前公众号有效。

完整授权流程的第一步是引导用户构造授权链接。链接格式为：https://open.weixin.qq.com/connect/oauth2/authorize?appid=APPID&redirect_uri=REDIRECT_URI&response_type=code&scope=SCOPE&state=STATE#wechat_redirect。其中，APPID替换为公众号的AppID；REDIRECT_URI为回调地址，必须经过URL编码（如encodeURIComponent），且域名需与后台配置的网页授权域名一致；response_type固定为“code”；scope取“snsapi_base”或“snsapi_userinfo”；state为开发者自定义的随机字符串，用于防止CSRF攻击，回调时会原样返回。用户点击该链接后会跳转到微信授权页面，在snsapi_base模式下直接跳转回回调地址，在snsapi_userinfo模式下需用户确认。

第二步是接收回调并获取code。授权完成后，微信服务器会通过302重定向将用户带到redirect_uri，并在URL参数中携带code（临时授权码，有效期5分钟，且只能使用一次）和state。开发者需验证state值是否与发起时一致，防止跨站请求伪造。若用户拒绝授权，则不会跳转，直接停留在微信提示页面。

第三步是通过code换取access_token。请求地址为：https://api.weixin.qq.com/sns/oauth2/access_token?appid=APPID&secret=SECRET&code=CODE&grant_type=authorization_code。其中grant_type固定为“authorization_code”。成功响应会返回JSON数据，包含：access_token（网页授权接口调用凭证，有效期7200秒）、expires_in（失效时间，单位秒）、refresh_token（用于刷新access_token，有效期30天）、openid（用户在该公众号下的唯一标识）、scope（用户实际授权的作用域）。此处的access_token与基础支持的access_token不同，仅用于网页授权接口，不可混用。

由于access_token有效期较短，微信提供了刷新access_token接口：https://api.weixin.qq.com/sns/oauth2/refresh_token?appid=APPID&grant_type=refresh_token&refresh_token=REFRESH_TOKEN。该接口在refresh_token未过期时返回新的access_token和refresh_token，且旧的refresh_token失效。实际开发中，应妥善保存refresh_token，并在access_token过期时静默刷新。

第四步是拉取用户信息。仅当scope为snsapi_userinfo时可用。请求地址为：https://api.weixin.qq.com/sns/userinfo?access_token=ACCESS_TOKEN&openid=OPENID&lang=zh_CN。参数lang指定返回语言，默认zh_CN。成功响应包含：openid、nickname（昵称，可能含emoji，需注意UTF-8编码）、sex（性别，1男、2女、0未知）、province（省份）、city（城市）、country（国家）、headimgurl（头像URL，可能有多个尺寸，最后一个/0代表原图）、privilege（用户特权列表）、unionid（仅在用户将公众号绑定到微信开放平台账号后才会返回）。若scope为snsapi_base，则此接口会返回错误码48001或40003等，需提示用户升级授权。

开发者还应关注错误码处理。常见的错误码包括：40029（code无效）、40163（code已被使用）、40003（openid无效）、41001（缺少access_token）、42001（access_token超时）、40014（不合法的access_token）、42002（refresh_token超时）。出现错误时应跳转到授权重新获取，或提示用户重新触发授权流程。特别注意code只能使用一次，重复使用会报错。

关于UnionID：若开发者同时拥有多个公众号或小程序，且已绑定到同一微信开放平台账号下，可通过UnionID识别同一用户在不同应用下的唯一身份。获取UnionID的前提是完成开放平台绑定，并且在拉取用户信息时返回该字段。对于未绑定开放平台的应用，只能用OpenID区分用户。

安全与性能建议：AppSecret严禁放在前端或客户端代码中，所有请求必须经过开发者服务器转发；redirect_uri应使用HTTPS协议；state参数务必校验；存储用户信息时应做好隐私安全保护，遵守《微信公众平台服务协议》及相关法律法规；对于频繁拉取用户信息的场景，建议使用服务端缓存以减少微信API调用次数。

最后，微信官方文档提供了详尽的说明，开发者可参考《微信官方文档-网页授权》（https://developers.weixin.qq.com/doc/offiaccount/OA_Web_Apps/Wechat_webpage_authorization.html）。注意微信平台接口更新较快，应以最新官方文档为准。在实现过程中，需反复测试授权回调、token刷新、用户信息拉取等边界情况，以确保系统稳定可靠。