微信扫码登录开发

一、需要在微信开放平台注册账号，添加网站应用信息，然后审核通过后会得到appid和AppSecret，我们在配置上回调域名，即可完成扫码登录。

二、网页授权流程分为四步：

1. 引导用户进入授权页面同意授权，获取code
2. 通过code换取网页授权access_token（与基础支持中的access_token不同）
3. 如果需要，开发者可以刷新网页授权access_token，避免过期
4. 通过网页授权access_token和openid获取用户基本信息（支持UnionID机制）

三、

网页授权回调域名：开发者需要先到公众平台官网中的“开发 - 接口权限 - 网页服务 - 网页帐号 - 网页授权获取用户基本信息”的配置选项中，修改回调域名，注意回调域名为一个字符串，不能带有http://、https://等字样

网页授权的两种scope：

• snsapi_base，用户无感知进入回调页，用来获取进入页面的用户的openid
• snsapi_userinfo：需用户同意才能授权，因为用户同意过，所以不需要关注，可以获取该用户的基本信息

网页授权access_token和普通的access_token

• 微信网页授权是通过OAuth2.0机制实现的，在用户授权给公众号后，公众号可以获取到一个网页授权特有的接口调用凭证（网页授权access_token），通过网页授权access_token可以进行授权后接口调用，如获取用户基本信息；
• 其他微信接口，需要通过基础支持中的“获取access_token”接口来获取到的普通access_token调用。

关于UnionID机制：UnionID是微信用户的唯一标识

OAuth：是一个开放标准，用户运行第三方应用访问该用户在某一网站上存储的私密信息（昵称，头像等），而无需将用户名和密码提供给第三方应用。微信的扫码登录是基于OAuth2.0标准实现的。

四、具体实现步骤：

1. 用户同意授权，获取code，此处我们选择的 scope为：snsapi_login，因为我们需要扫码登录，如果用snsapi_userinfo不能实现扫码，访问路径及参数：

StringBuilder sb = new StringBuilder( 250 );

sb.append( " https://open.weixin.qq.com/connect/qrconnect " );

sb.append( "?appid=" ).append(appid).append( "&" );

sb.append( "redirect_uri=" ).append(redirectUri).append( "&" );

sb.append( "response_type=code" ).append( "&" );

sb.append( "scope=snsapi_login" ).append( "&" );

sb.append( "state=" ).append(state);

参数说明：

appid：应用唯一标识，在网站应用认证的时候得到的

redirect_uri：扫码成功，用户同意授权之后，微信回调的url

response_type：填code即可

scope：应用授权作用域，网页授权填写snsapi_login即可，多个作用域用逗号隔开

state：用于保存请求和回调状态，授权请求后会原样带给第三方，该参数会防止 csrf攻击，可用随机数家session进行校验，如验证码页面的上一个页面是我们扫码成功之后需要跳转的页面，可以将这个页面的连接存在redis中，而redis的key即为这个state，两全其美，一是我们可以扫码之后的跳转页面，二是我们可以验证是否受到了csrf攻击。

2.

2.1通过code换取网页授权access_token（与基础支持中的access_token不同）

在用户扫码并且同意授权之后，微信会回调第三方系统，传过来的参数有code和state，code为换取access_token的凭证，换取凭证的连接： https://api.weixin.qq.com/sns/oauth2/access_token

传入参数： sb.append( "?appid=" ).append(appid);

sb.append( "&secret=" ).append(secret);

sb.append( "&code=" ).append(code);

sb.append( "&grant_type=authorization_code" );

返回参数：

参数	说明
access_token	接口调用凭证，超时时间为32分钟
expires_in	access_token接口调用凭证超时时间，单位（秒）
refresh_token	用户刷新access_token
openid	授权用户唯一标识
scope	用户授权的作用域，使用逗号（,）分隔
unionid	当且仅当该网站应用已获得该用户的userinfo授权时，才会出现该字段。

2.2获取access_token凭证之后，可通过凭证拿到微信用户的信息，访问连接： https://api.weixin.qq.com/sns/userinfo

传入参数：access_token

openid

这两个参数均可以在上一步获取的token数据集中拿到

返回参数：

参数	说明
openid	普通用户的标识，对当前开发者帐号唯一
nickname	普通用户昵称
sex	普通用户性别，1为男性，2为女性
province	普通用户个人资料填写的省份
city	普通用户个人资料填写的城市
country	国家，如中国为CN
headimgurl	用户头像，最后一个数值代表正方形头像大小（有0、46、64、96、132数值可选，0代表640*640正方形头像），用户没有头像时该项为空
privilege	用户特权信息，json数组，如微信沃卡用户为（chinaunicom）
unionid	用户统一标识。针对一个微信开放平台帐号下的应用，同一用户的unionid是唯一的。

建议保存unionid到本地，因为在同一个开发平台下的应用如果要互通的话，可以用这个字段来获取用户信息。以上得到了微信用户信息，业务系统可根据这些信息进行登录验证或绑定操作。