網站應用微信登錄開發

                                                 
一、授權流程
    微信OAuth2.0授權登錄讓微信用戶使用微信省份安全登錄第三方應用或網站，在微信用戶授權登錄已接入微信OAuth2.0的第三方應用後，第三方可以獲取到用戶的接口調用憑證（access_token），通過access_token可以進行微信開發平臺授權關係接口調用，從而可實現獲取微信用戶基本開放信息和幫助用戶實現基本開放功能等。
    1.第三方發起微信授權登錄請求，微信用戶允許授權第三方應用後，微信會拉起應用或重定向到第三方網站，請求帶上授權臨時票據code參數
    2.通過code參數加上APPID和APPSecret等，通過API換區access_token
    3.通過access_token進行解救調用，獲取用戶基本數據資源或幫助用戶實現基本操作。
二、請求code
    1.第三方使用網站應用授權登錄前請注意已獲取相應網頁授權作用域（scope=snsapi_login）。
    https://open.weixin.qq.com/connect/qrconnect?appid=APPID&redirect_uri=REDIRECT_URI&response_type=code&scope=SCOPE&state=STATE#wechat_redirect
        1.appid  是    應用唯一標識
        2.redirect_uri  是  請使用urlEncode對鏈接進行處理
        3.response—_type 是 填code
        4.scope      是     應用授權作用域，擁有多個作用於用（，）逗號分隔開，網頁應用目前僅填寫snsapi_login
        5.state      否     用於保持請求和回調的狀態，授權請求後原樣帶回給第三方，該參數可用戶防止csrf攻擊（跨站請求僞造攻擊），建議第三方帶上該參數，可設置爲簡單的數加session進行校驗
    2.返回：用戶允許授權後，將會重定向到redirect_uri的網址上，並且帶上code和state參數，若用戶禁止授權，則重定向後不會帶code參數，僅會帶上state參數
三、第二種微信掃碼授權登錄
    爲了滿足網站更定製化的需求我們還提供了第二種獲取code的方式，支持網站將微信登錄二維碼內嵌到自己的網頁中，用戶使用微信掃碼授權後通過JS將code返回給網站
    JS微信登錄的主要用途:網站希望用戶在網站內就能完成登錄，無需跳轉到微信域下登錄後再返回，提升微信登錄的流暢性和成功率。網站內嵌二維碼微信登錄JS實現辦法
        1.在頁面中先引入JS文件（支持Https）http://res.wx.qq.com/connect/zh_CN/htmledition/js/wxLogin.js
        2.在需要使用微信登錄的地方實例以下JS對象：
             var obj = new WxLogin({
             self_redirect:true,
             id:"login_container", 
             appid: "", 
             scope: "", 
             redirect_uri: "",
              state: "",
             style: "",
             href: ""
             });
            self_redirect         否    true：手機點擊確認登錄後可以在iframe內跳轉到redirect——uri,false：手機點擊確認登錄後可在iframe內跳轉到redirect_uri，false：手機點擊確認登錄後可以在top window 跳轉到redirect_uri。默認false
            id                    是    第三方頁面實現二維碼的容器id
            appid                 是        應用唯一標識，在微信開放平臺提交應用審覈通過後獲得
            scope                 是    應用授權作用域，擁有多個作用域用逗號（，）分隔，網頁應用目前僅填寫snsapi_login即可
            REDIRECT_URI             重定向地址，需要進行URLEncode
            state                   否        用於保持請求和回調的狀態，授權請求後原樣帶回給第三方。該參數可以用於防止csrf攻擊（跨站請求僞造攻擊），建議第三方帶上該參數，可設置爲簡單的隨機數加session進行校驗
            style                  否    提供"balck"、"white"可選，默認爲黑色文字描述。
            href                    否        自定義樣式銜接，第三方可根據實際需求覆蓋默認樣式
        3.通過code獲取access_token   https://api.weixin.qq.com/sns/oauth2/access_token?appid=APPID&secret=SECRET&code=CODE&grant_type=authorization_code
            appid             是    應用唯一標識，微信開放平臺日膠應用審覈通過後獲得
            secret             是    應用密鑰AppSecret，在微信開放平臺提交應用審覈後獲得
            code             是    填寫第一步獲取的code參數
            grant_type         是    填authorization_code
        4.返回值    { 
                "access_token":"ACCESS_TOKEN", 
                "expires_in":7200, 
                "refresh_token":"REFRESH_TOKEN",
                "openid":"OPENID", 
                "scope":"SCOPE",
                "unionid": "o6_bmasdasdsad6_2sgVt7hMZOPfL"
                }
            access_token         接口調用憑證
            expires_in            access_token接口調用憑證超時時間，單位（秒）
            refresh_in            用戶刷新access_token
            openid                 授權用戶唯一標識
            scope                 用戶授權的作用域，使用逗號（，）分隔
            unionid                當且僅當該網站應用已獲取該用戶的userinfo授權時，纔會出現該字段
            錯誤返回樣例：{"errcode":40029,"errmsg":"invalid code"}
        5.刷新access_token有效期
            access_token是調用授權關係接口的調用憑證，由於access_token有效期（目前爲2個小時）較短，當access_token超時後，可以使用refresh_token進行刷新，access_token刷新結構有兩種
                1.若access_token已超時，那麼進行refresh_token獲取一個新的access_token，新的超時時間
                2.若access_token未超時，那麼進行refresh_token不會改變access_token，但超時時間會刷新，相當於續期access_token
                注：refresh_token擁有較長的有效期（30天），當refresh_token失效的後，需要用戶重新授權。
        6.請求方法
            獲取第一步的code後，請求一下鏈接進行refresh_token
                appid             是            應用唯一標識
                grant_typr        是            填refresh_token
                refresh_token     是            填寫通過access_token獲取到的refresh_token參數
            正確的返回：{ 
                        "access_token":"ACCESS_TOKEN", 
                        "expires_in":7200, 
                        "refresh_token":"REFRESH_TOKEN", 
                        "openid":"OPENID", 
                        "scope":"SCOPE" 
                        }
                access_token             接口調用憑證
                expires_in                 access_token接口調用憑證超時時間，單位（秒）
                refresh_token              用戶刷新access_token
                openid                     授權用戶唯一標識
                scope                     用戶授權的作用域，使用逗號（，）分隔
            錯伏返回樣例： {"errcode":40030,"errmsg":"invalid refresh_token"}
        7.注意事項
            1.Appsecret是應用接口使用密匙，泄露後將可能導致應用數據泄露、應用的用戶數據泄露等高風險後果;存儲在客戶端，極有可能被惡意竊取（如反編譯獲取Appsecret)
            2.access_token爲用戶授權第三方應用發起接口調用的憑證（相當於用戶登錄態），存儲在客戶端，可能出現惡意獲取access_token後導致的用戶數據泄露、用戶微信相關接口功能被惡意發起等行爲
            3.refresh_token爲用戶授權第三方應用的長效憑證，僅用戶刷新access_token，但泄露後相當於access_token泄露，風險同上。
            建議將secret、用戶數據（如access_token）放在App雲端服務器，由雲端中轉接口調用請求
        8.通過access_token調用接口
            獲取access_token後，進行接口調用，有以下前提
                1.access_token有效且未超時
                2.微信用戶已授權給第三方應用賬號相應接口作用域（scope)
            對於接口作用域（scope），能調用的接口有以下
                snsapi_base            /sns/oauth2/access_token    通過code換取access_token、refresh_token和已授權scope
                snsapi_base            /sns/oauth2/refresh_token    刷新或續期access_token使用
                snsapi_base            /sns/auth                    檢查access_token有效性
                snsapi_userinfo        /sns/userinfo                獲取用戶個人信息
            其中snsapi_base屬於基礎接口，若應用已擁有其他scope權限，則默認擁有snsapi_base的權限。使用snsapi_base可以讓移動端網頁授權繞過跳轉授權登錄頁請求用戶授權的動作，直接跳轉到第三方網頁帶上授權臨時票據（code），但會使得用戶已授權作用域（scope）僅爲snsapi_base，從而導致無法獲取到需要用戶授權才允許獲取的數據和基礎功能。