【微信】第三方登陸接口流程

微信登陸介紹：

微信OAuth2.0受權登陸讓微信用戶使用微信身份安全登陸第三方應用或網站，在微信用戶受權登陸已接入微信OAuth2.0的第三方應用後，第三方能夠獲取到用戶的接口調用憑證（access_token），經過access_token能夠進行微信開放平臺受權關係接口調用，從而可實現獲取微信用戶基本開放信息和幫助用戶實現基礎開放功能等。

準備工做：

在進行微信OAuth2.在進行微信OAuth2.0受權登陸接入以前，在微信開放平臺註冊開發者賬號，並擁有一個已審覈經過的網站應用，並得到相應的AppID和AppSecret，申請微信登陸且經過審覈後，可開始接入流程。

建立網站應用

在建立網站應用快要完成的時候會設置一個返回域，此域要跟代碼的返回地址一致（受權回調域最好寫一級域名）。

 

 

提交審覈，等待獲取到APPID和AppSecret

接入流程示意圖：

 

代碼操做示例：

流程示意圖：

 

第一步：請求CODE

第三方使用網站應用受權登陸前請注意已獲取相應網頁受權做用域（scope=snsapi_login），則能夠經過在PC端打開如下連接：
https://open.weixin.qq.com/connect/qrconnect?appid=APPID&redirect_uri=REDIRECT_URI&response_type=code&scope=SCOPE&state=STATE#wechat_redirect

注：若提示「該連接沒法訪問」，請檢查參數是否填寫錯誤，如redirect_uri的域名與審覈時填寫的受權域名不一致或scope不爲snsapi_login。

參數說明

 

返回說明

用戶容許受權後，將會重定向到redirect_uri的網址上，而且帶上code和state參數

 

若用戶禁止受權，則重定向後不會帶上code參數，僅會帶上state參數

 

第二步：經過code獲取access_token

經過code獲取access_token：

 

參數說明

 

返回說明

 

 

錯誤返回樣例：{"errcode":40029,"errmsg":"invalid code"}

刷新access_token有效期

access_token是調用受權關係接口的調用憑證，因爲access_token有效期（目前爲2個小時）較短，當access_token超時後，可使用refresh_token進行刷新，access_token刷新結果有兩種：

 

 

refresh_token擁有較長的有效期（30天），當refresh_token失效的後，須要用戶從新受權。

請求方法

獲取第一步的code後，請求如下連接進行refresh_token：

 

參數說明

 

返回說明

正確的返回：

 

 

 

錯誤返回樣例：{"errcode":40030,"errmsg":"invalid refresh_token"}

注意：

一、Appsecret 是應用接口使用密鑰，泄漏後將可能致使應用數據泄漏、應用的用戶數據泄漏等高風險後果；存儲在客戶端，極有可能被惡意竊取（如反編譯獲取Appsecret）；

二、access_token 爲用戶受權第三方應用發起接口調用的憑證（至關於用戶登陸態），存儲在客戶端，可能出現惡意獲取access_token 後致使的用戶數據泄漏、用戶微信相關接口功能被惡意發起等行爲；

三、refresh_token 爲用戶受權第三方應用的長效憑證，僅用於刷新access_token，但泄漏後至關於access_token 泄漏，風險同上。

第三步：經過access_token調用接口

獲取access_token後，進行接口調用，有如下前提：

 

對於接口做用域（scope），能調用的接口有如下：

附加二維碼登陸代碼示例：

步驟1：在頁面中先引入以下JS文件（支持https）：

步驟2：在須要使用微信登陸的地方實例如下JS對象：

 

注：引入代碼前要有佔位容器來進行顯示

參數說明

參數	是否必須	說明
id	是	第三方頁面顯示二維碼的容器id
appid	是	應用惟一標識，在微信開放平臺提交應用審覈經過後得到
scope	是	應用受權做用域，擁有多個做用域用逗號（,）分隔，網頁應用目前僅填寫snsapi_login便可
redirect_uri	是	重定向地址，須要進行UrlEncode
state	否	用於保持請求和回調的狀態，受權請求後原樣帶回給第三方。該參數可用於防止csrf攻擊（跨站請求僞造攻擊），建議第三方帶上該參數，可設置爲簡單的隨機數加session進行校驗
style	否	提供"black"、"white"可選，默認爲黑色文字描述。詳見FAQ
href	否	自定義樣式連接，第三方可根據實際需求覆蓋默認樣式。詳見FAQ

 

F.A.Q

1. 什麼是受權臨時票據（code）？

答：第三方經過code進行獲取access_token的時候須要用到，code的超時時間爲10分鐘，一個code只能成功換取一次access_token即失效。code的臨時性和一次保障了微信受權登陸的安全性。第三方可經過使用https和state參數，進一步增強自身受權登陸的安全性。

2. 什麼是受權做用域（scope）？

答：受權做用域（scope）表明用戶受權給第三方的接口權限，第三方應用須要向微信開放平臺申請使用相應scope的權限後，使用文檔所述方式讓用戶進行受權，通過用戶受權，獲取到相應access_token後方可對接口進行調用。

3. 網站內嵌二維碼微信登陸JS代碼中style字段做用？

答：第三方頁面顏色風格可能爲淺色調或者深色調，若第三方頁面爲淺色背景，style字段應提供"black"值（或者不提供，black爲默認值），則對應的微信登陸文字樣式爲黑色。

4.網站內嵌二維碼微信登陸JS代碼中href字段做用？

答：若是第三方以爲微信團隊提供的默認樣式與本身的頁面樣式不匹配，能夠本身提供樣式文件來覆蓋默認樣式。