微信网页授权备忘

服务端认证

首先在公众平台会填写接口配置信息：url 和 token, url是服务端地址，token是自定义验证信息；
点击提交也就是对应的开起服务；此时微信服务器会向服务端发送GET请求，携带了signature、timestamp、nonce、echostr字段；服务端接收到相应字段后，结合所配置的token,匹配出请求是否来自微信服务器；匹配成功后把echostr返回给微信服务端，完成服务端匹配认证；

node服务器参考代码

var config = require('../config').wechat;
var sha1 = require('sha1');

async function auth(ctx, next) {
    // 只匹配根路径
    if(ctx.path == '/'){
        // 获取微信签名信息
        const {echostr,nonce,signature,timestamp} = ctx.query || {};
        // 校验请求是否来自微信服务器
        // 1）将token、timestamp、nonce三个参数进行字典序排序
        const token = config.token;
        const str = [token ,timestamp , nonce].sort().join('');
        // 2）将三个参数字符串拼接成一个字符串进行sha1加密
        const sha1Str = sha1(str);
        // 3）开发者获得加密后的字符串可与signature对比，标识该请求来源于微信
        if(sha1Str == signature){
            // 4) 判断是否是GET请求
            if(ctx.method == 'GET'){
                ctx.body = echostr;
            }
        }else{
            ctx.body = "该请求并非来自微信";
        }
    }
}

module.exports = auth

客户端授权登录

一般客户端客户端授权登录的大部分工作还是在服务端进行；服务端提供接口，客户端相应的操作；

大致流程为：

graph TB    
A(客户端进入授权网页)-->B(请求后台授权接口</br>跟上重定向地址redirect_uri)
B-->C(服务端接收到请求后,向微信服务器发起获取code的请求,把重定向地址传给微信服务器,<br/>)
C-->D(客户端网页对应的跳转到重定向地址`redirect_uri/?code=CODE&state=STATE`)
D-->E(服务端通过获取的code,请求微信服务端到access_token,完成授权)

服务端可以通过access_token获取用户信息，提供给客户端；

其他

静默登录：就是服务端向微信服务端请求code时传的参数scope = 'snsapi_base';

具体参照官方文档