1. 从零到一为什么选择uni-app与微信登录如果你正在开发一个需要跨端发布比如同时上架微信小程序、H5、App的项目并且核心功能离不开用户身份体系那么“uni-app 微信登录”这个组合大概率已经进入了你的技术选型清单。我最近刚完成一个社区类项目的用户系统重构核心就是这套方案。选择它不是因为跟风而是经过一番权衡后的结果。首先uni-app解决了“一次开发多端发布”的核心痛点。对于初创团队或个人开发者而言维护多套代码小程序原生、H5、iOS、Android的成本是难以承受的。uni-app基于Vue.js对于前端开发者来说上手极快其条件编译机制又能很好地处理各平台的差异。这意味着你主要的登录业务逻辑可以写一套然后通过简单的条件编译如#ifdef MP-WEIXIN来微调不同端的实现细节极大地提升了开发效率。其次微信登录是当前国内移动互联网的“基础设施”。对于C端产品尤其是小程序和轻量级H5应用让用户重新注册一套账号密码的转化漏斗是惊人的。微信登录提供了近乎“一键授权”的体验用户认知成本低授权率高。更重要的是它背后关联着微信的社交关系链和支付能力这对于构建有粘性的社区或需要交易闭环的应用来说价值巨大。但是把这两者结合起来并不是简单的API调用。你会遇到一系列具体问题uni-app中如何优雅地调用微信登录API获取到的code如何安全地传到自己的后端后端Spring Boot服务该如何与微信服务器交互验证code并换取真正的用户标识换回的session_key和openid又该如何管理并安全地生成自定义登录态如Token返回给前端这一连串的环节任何一个处理不当都会导致登录失败、安全漏洞或糟糕的用户体验。接下来我将以一个完整的、可落地的项目实践为例拆解从uni-app前端发起登录到Spring Boot后端处理再到MyBatis Plus进行用户信息落库的每一个步骤、每一个坑点以及那些官方文档不会告诉你的实战经验。2. 前端实战uni-app中微信登录的完整流程与细节把控在uni-app中实现微信登录根据运行平台的不同代码路径有所区别。主要分为微信小程序和H5/App使用微信开放平台能力两大场景。这里我们以最复杂也最常用的“同时支持小程序和H5”为例进行详解。2.1 环境准备与权限配置在写第一行代码之前正确的配置是成功的一半。对于微信小程序获取AppID在 微信公众平台 注册小程序获得唯一的AppID。配置服务器域名在小程序后台的“开发”-“开发设置”-“服务器域名”中将你的后端Spring Boot API地址如https://api.yourdomain.com添加到request合法域名中。否则uni-app发起的网络请求将被微信拦截。开通登录能力在“开发”-“开发设置”-“消息推送”或直接搜索“登录”确保“微信登录”能力已开启通常默认开启。对于H5微信内网页获取开放平台AppID需要在 微信开放平台 创建网站应用审核通过后获得另一个AppID。注意这个ID和小程序的AppID不同。配置授权回调域在开放平台应用详情页的“授权回调域”中填写你的H5页面所在的一级域名如yourdomain.com。微信在登录成功后只会跳转回此域名下的页面。uni-app项目配置在manifest.json文件中你需要配置这些AppID。// manifest.json - mp-weixin 节点 mp-weixin: { appid: 你的小程序AppID, setting: { urlCheck: false // 开发阶段可关闭域名校验 }, usingComponents: true }对于H5的开放平台AppID无法在此静态配置通常需要在运行时根据环境动态传入或写在一个公共配置文件中。2.2 核心登录代码实现区分平台uni-app提供了uni.login和uni.getUserProfile等API但它们在不同平台下的行为差异很大必须做条件编译。场景一微信小程序登录小程序登录流程相对直接因为uni-app运行时就在微信容器内。// pages/login/login.vue export default { methods: { async weixinMiniProgramLogin() { // 1. 调用uni.login获取临时凭证code const [loginErr, loginRes] await uni.login({ provider: weixin, // 在微信小程序中provider为weixin且仅支持微信小程序 // #ifdef MP-WEIXIN onlyAuthorize: false // 通常设为false获取code // #endif }); if (loginErr) { uni.showToast({ title: 登录失败请重试, icon: none }); return; } const code loginRes.code; // 这个code有效期5分钟必须尽快发送到后端 // 2. (可选但推荐) 获取用户信息需用户主动授权按钮触发 // 注意uni.getUserInfo接口已调整建议使用button open-typegetUserInfo或uni.getUserProfile // 这里展示使用按钮引导授权的方式更符合规范 }, // 此方法由页面上的 button open-typegetUserInfo getuserinfoonGetUserInfo 触发 async onGetUserInfo(e) { if (e.detail.errMsg getUserInfo:ok) { const userInfo e.detail.userInfo; // 包含昵称、头像等 const encryptedData e.detail.encryptedData; const iv e.detail.iv; // 将code、encryptedData、iv一起发送给后端 // 后端用session_key可以解密encryptedData得到完整的用户信息 this.sendLoginRequestToBackend({ code: this.tempCode, // 需要提前保存上一步获取的code encryptedData, iv, platform: mp-weixin }); } else { // 用户拒绝了授权 uni.showToast({ title: 授权失败部分功能将无法使用, icon: none }); // 可以尝试仅用code登录获取openid但无法得到头像昵称 this.sendLoginRequestToBackend({ code: this.tempCode, platform: mp-weixin }); } } } }关键点小程序端的code是通过uni.login静默获取的用户无感。而用户头像、昵称等敏感信息必须通过一个按钮open-typegetUserInfo引导用户主动点击授权后才能获得。这是微信为了规范数据获取做出的强制要求。encryptedData和iv是加密后的用户信息需要后端用session_key解密。场景二H5微信内网页登录H5的登录流程是OAuth2.0授权码模式需要跳转到微信的授权页再跳转回来。// utils/login.js - 封装H5微信登录函数 export const h5WeixinLogin () { // #ifdef H5 // 判断是否在微信浏览器内 const isWeixin /micromessenger/i.test(navigator.userAgent); if (!isWeixin) { uni.showModal({ content: 请在微信内打开此页面进行登录, showCancel: false }); return; } // 构造微信授权URL const appid 你的开放平台网站应用AppID; // 应从配置中心读取 const redirectUri encodeURIComponent(window.location.origin /pages/login/callback); // 回调页面 const state YOUR_STATE; // 建议生成随机字符串用于防CSRF攻击 const scope snsapi_userinfo; // 需要获取用户信息时用snsapi_userinfo静默登录用snsapi_base const authUrl https://open.weixin.qq.com/connect/oauth2/authorize?appid${appid}redirect_uri${redirectUri}response_typecodescope${scope}state${state}#wechat_redirect; // 跳转到微信授权页面 window.location.href authUrl; // #endif }; // pages/login/callback.vue - 授权回调页面 export default { onLoad(query) { const { code, state } query; // 1. 验证state防止CSRF攻击 if (state ! YOUR_STATE) { uni.showToast({ title: 状态校验失败, icon: none }); return; } // 2. 将code发送给后端 this.sendCodeToBackend(code, h5-weixin); // 3. 登录成功后跳转回原页面或首页 } }踩坑实录H5登录最大的坑在于回调页面的处理。这个页面如上例中的/pages/login/callback必须是一个真实存在的、独立的Vue页面它只负责接收code并调用后端接口。登录成功后通常需要跳转回用户原本想访问的页面。这里涉及复杂的路由状态管理。一个实用的技巧是在发起授权前用uni.setStorageSync(login_back_url, currentRoute)保存当前页面路径在回调页面登录成功后再取出这个路径进行跳转。2.3 统一登录请求封装与状态管理无论来自哪个平台前端在获取到核心凭证小程序的codeencryptedDataiv或H5的code后都需要调用同一个后端登录接口。// api/user.js import request from /utils/request; // 假设你封装了uni.request export function loginByWeixin(data) { // data: { code, encryptedData, iv, platform } return request({ url: /api/auth/weixin-login, method: POST, data }); } // 在Vue组件中调用 async sendLoginRequestToBackend(loginParams) { uni.showLoading({ title: 登录中... }); try { const res await loginByWeixin(loginParams); if (res.code 200) { const { token, userInfo } res.data; // 1. 存储Token (建议用Vuex/Pinia做状态管理同时持久化到Storage) uni.setStorageSync(access_token, token); this.$store.commit(user/SET_TOKEN, token); // 2. 存储用户信息 this.$store.commit(user/SET_USER_INFO, userInfo); uni.showToast({ title: 登录成功 }); // 3. 跳转或返回 const backUrl uni.getStorageSync(login_back_url) || /pages/index/index; uni.reLaunch({ url: backUrl }); } else { uni.showToast({ title: res.message || 登录失败, icon: none }); } } catch (error) { console.error(登录请求失败:, error); uni.showToast({ title: 网络请求失败, icon: none }); } finally { uni.hideLoading(); } }状态管理建议对于用户登录态Token我强烈建议采用“内存(Vuex/Pinia) 持久化(Storage)”的双重模式。内存中存储便于响应式更新UI持久化存储保证App刷新或重启后仍能保持登录。同时需要在全局请求拦截器如封装的request中自动将Token添加到请求头Authorization中。3. 后端基石Spring Boot如何安全处理微信登录前端把“原料”code等送过来了后端的任务就是把这些原料加工成系统可识别的“通行证”Token。这个过程的核心是与微信服务器的两次交互以及自身登录态的安全管理。3.1 构建与微信服务器的安全通信首先你的Spring Boot项目需要能发送HTTP请求到微信API。推荐使用Spring Boot自带的RestTemplate或更现代的WebClient。1. 配置微信API参数将这些配置放在application.yml中便于不同环境切换。weixin: mp: app-id: ${WEIXIN_MP_APPID:你的小程序AppID} app-secret: ${WEIXIN_MP_SECRET:你的小程序AppSecret} # 务必保密 open: app-id: ${WEIXIN_OPEN_APPID:你的开放平台AppID} app-secret: ${WEIXIN_OPEN_SECRET:你的开放平台AppSecret} # 务必保密 api: jscode2session: https://api.weixin.qq.com/sns/jscode2session # 小程序登录 oauth2-access-token: https://api.weixin.qq.com/sns/oauth2/access_token # H5登录 user-info: https://api.weixin.qq.com/sns/userinfo # 获取H5用户信息2. 封装微信服务工具类创建一个WeixinService统一处理与微信的通信、错误处理和结果解析。Component Slf4j public class WeixinService { Value(${weixin.mp.app-id}) private String mpAppId; Value(${weixin.mp.app-secret}) private String mpAppSecret; Value(${weixin.open.app-id}) private String openAppId; Value(${weixin.open.app-secret}) private String openAppSecret; private final RestTemplate restTemplate; public WeixinService(RestTemplateBuilder builder) { this.restTemplate builder.build(); } /** * 小程序登录code换session_key和openid */ public MpLoginResult code2Session(String code) { String url String.format(https://api.weixin.qq.com/sns/jscode2session?appid%ssecret%sjs_code%sgrant_typeauthorization_code, mpAppId, mpAppSecret, code); String response restTemplate.getForObject(url, String.class); log.info(微信小程序登录响应: {}, response); MpLoginResult result JSON.parseObject(response, MpLoginResult.class); if (result.getErrcode() ! null result.getErrcode() ! 0) { throw new BusinessException(微信登录失败: result.getErrmsg()); } return result; // 包含 session_key, openid, unionid(如果有关联) } /** * H5登录code换access_token和openid */ public OAuth2AccessToken getOAuth2AccessToken(String code) { String url String.format(https://api.weixin.qq.com/sns/oauth2/access_token?appid%ssecret%scode%sgrant_typeauthorization_code, openAppId, openAppSecret, code); String response restTemplate.getForObject(url, String.class); OAuth2AccessToken token JSON.parseObject(response, OAuth2AccessToken.class); if (token.getErrcode() ! null token.getErrcode() ! 0) { throw new BusinessException(微信网页授权失败: token.getErrmsg()); } return token; // 包含 access_token, openid, unionid } // 内部类定义返回结果 Data public static class MpLoginResult { private String session_key; private String openid; private String unionid; private Integer errcode; private String errmsg; } Data public static class OAuth2AccessToken { private String access_token; private String openid; private String unionid; private Integer errcode; private String errmsg; } }核心安全提醒AppSecret是最高机密必须通过环境变量注入如${WEIXIN_MP_SECRET}绝对不要硬编码在代码或提交到Git仓库。微信的API调用有频率限制生产环境务必做好缓存和限流。3.2 设计登录API接口与业务逻辑现在我们来创建处理前端登录请求的Controller。RestController RequestMapping(/api/auth) Slf4j public class AuthController { Autowired private WeixinService weixinService; Autowired private UserService userService; Autowired private TokenService tokenService; PostMapping(/weixin-login) public ResultLoginVO weixinLogin(RequestBody Valid WeixinLoginDTO dto) { // dto包含: code, encryptedData, iv, platform String openid; String unionid null; String sessionKey null; WechatUserInfo userInfo null; // 步骤1: 根据平台调用微信API换取openid/session_key if (mp-weixin.equals(dto.getPlatform())) { // 小程序登录 WeixinService.MpLoginResult mpResult weixinService.code2Session(dto.getCode()); openid mpResult.getOpenid(); unionid mpResult.getUnionid(); sessionKey mpResult.getSession_key(); // 如果有加密数据则解密获取用户信息 if (StringUtils.hasText(dto.getEncryptedData()) StringUtils.hasText(dto.getIv())) { try { String decryptData WxDecryptUtil.decrypt(dto.getEncryptedData(), sessionKey, dto.getIv()); userInfo JSON.parseObject(decryptData, WechatUserInfo.class); } catch (Exception e) { log.warn(解密微信用户信息失败用户可能未授权头像昵称, e); // 不解密失败不影响核心登录只是拿不到用户信息 } } } else if (h5-weixin.equals(dto.getPlatform())) { // H5登录 WeixinService.OAuth2AccessToken oauthToken weixinService.getOAuth2AccessToken(dto.getCode()); openid oauthToken.getOpenid(); unionid oauthToken.getUnionid(); // H5场景如果需要用户信息可以用access_token和openid再调一次/userinfo接口 // 但通常H5授权时scope已是snsapi_userinfo可以直接拿到 } else { throw new BusinessException(不支持的登录平台); } // 步骤2: 根据openid/unionid查找或创建本地用户 User user userService.findOrCreateByWechatId(openid, unionid, userInfo); // 步骤3: 生成自定义登录态Token (如JWT) String token tokenService.createToken(user); // 步骤4: 返回Token和必要的用户信息给前端 LoginVO vo new LoginVO(); vo.setToken(token); vo.setUserInfo(convertToUserInfoVO(user)); return Result.success(vo); } }DTO/VO对象示例Data public class WeixinLoginDTO { NotBlank(message code不能为空) private String code; private String encryptedData; // 小程序专用 private String iv; // 小程序专用 NotBlank(message 平台标识不能为空) private String platform; // mp-weixin, h5-weixin } Data public class LoginVO { private String token; private UserInfoVO userInfo; }3.3 用户信息解密与UnionID机制解密encryptedData微信返回的加密数据需要使用之前获取的session_key和前端传来的iv进行对称解密。// WxDecryptUtil.java public class WxDecryptUtil { public static String decrypt(String encryptedData, String sessionKey, String iv) throws Exception { // 使用AES-128-CBC解密PKCS#7填充 byte[] keyBytes Base64.getDecoder().decode(sessionKey); byte[] ivBytes Base64.getDecoder().decode(iv); byte[] encryptedBytes Base64.getDecoder().decode(encryptedData); Cipher cipher Cipher.getInstance(AES/CBC/PKCS5Padding); SecretKeySpec keySpec new SecretKeySpec(keyBytes, AES); IvParameterSpec ivSpec new IvParameterSpec(ivBytes); cipher.init(Cipher.DECRYPT_MODE, keySpec, ivSpec); byte[] decryptedBytes cipher.doFinal(encryptedBytes); return new String(decryptedBytes, StandardCharsets.UTF_8); // 解密后得到JSON字符串包含openId, nickName, avatarUrl等 } }UnionID的重要性如果同一个微信开放平台账号下绑定了多个应用小程序、公众号、移动应用等那么这些应用在用户授权后获取到的unionid是相同的而openid在不同应用间是不同的。unionid是打通同一用户在不同微信产品间身份的唯一标识。在设计用户表时强烈建议将unionid作为比openid更优先的用户标识字段。这样即使用户在不同的小程序或公众号中授权你也能识别出是同一个用户。4. 数据持久化MyBatis Plus下的用户表设计与操作后端逻辑处理完后需要将用户信息持久化到数据库。MyBatis Plus能极大简化这部分工作。4.1 用户表结构设计一个典型的、支持微信登录的用户表设计如下CREATE TABLE t_user ( id bigint(20) NOT NULL AUTO_INCREMENT COMMENT 主键, username varchar(50) DEFAULT NULL COMMENT 系统用户名可后续绑定, nickname varchar(100) DEFAULT NULL COMMENT 微信昵称, avatar_url varchar(500) DEFAULT NULL COMMENT 微信头像, openid_mp varchar(100) DEFAULT NULL COMMENT 小程序openid, openid_h5 varchar(100) DEFAULT NULL COMMENT H5 openid, unionid varchar(100) DEFAULT NULL UNIQUE COMMENT 微信开放平台unionid唯一索引, gender tinyint(1) DEFAULT NULL COMMENT 性别 0未知 1男 2女, country varchar(50) DEFAULT NULL, province varchar(50) DEFAULT NULL, city varchar(50) DEFAULT NULL, mobile varchar(20) DEFAULT NULL COMMENT 手机号可后续绑定, status tinyint(1) NOT NULL DEFAULT 1 COMMENT 状态 1正常 0禁用, last_login_time datetime DEFAULT NULL COMMENT 最后登录时间, create_time datetime NOT NULL DEFAULT CURRENT_TIMESTAMP, update_time datetime NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP, PRIMARY KEY (id), UNIQUE KEY uk_unionid (unionid), INDEX idx_openid_mp (openid_mp), INDEX idx_openid_h5 (openid_h5) ) ENGINEInnoDB DEFAULT CHARSETutf8mb4 COMMENT用户表;设计要点分离不同平台的openidopenid_mp和openid_h5分开存储因为它们是不同的标识符。查询时根据登录平台查询对应字段。UnionID作为核心关联键unionid字段建立唯一索引是识别同一微信用户在不同应用下身份的关键。如果用户先通过小程序登录有unionid后又通过H5登录也有相同的unionid你可以通过unionid找到已存在的用户记录更新其openid_h5字段即可实现账号打通。预留扩展字段username,mobile用于后续用户绑定手机号或设置独立账号。status用于管理用户状态。4.2 使用MyBatis Plus实现“查找或创建”逻辑在UserService中实现findOrCreateByWechatId方法是核心。Service Slf4j public class UserServiceImpl extends ServiceImplUserMapper, User implements UserService { Override Transactional(rollbackFor Exception.class) public User findOrCreateByWechatId(String openid, String unionid, WechatUserInfo wechatInfo) { User user null; // 策略1: 优先通过unionid查找用户 (最准确) if (StringUtils.hasText(unionid)) { user lambdaQuery().eq(User::getUnionid, unionid).one(); if (user ! null) { log.info(通过unionid找到已存在用户: {}, unionid); // 更新对应平台的openid可能用户换了新设备登录 updateUserOpenid(user, openid, wechatInfo); return user; } } // 策略2: 如果无unionid或未找到则通过当前平台的openid查找 // 这里需要根据调用方传入的平台信息决定查询哪个字段为简化示例假设我们知道是mp user lambdaQuery().eq(User::getOpenidMp, openid).one(); if (user ! null) { log.info(通过openid找到已存在用户: {}, openid); // 如果本次有unionid而记录中没有则更新unionid重要 if (StringUtils.hasText(unionid) !unionid.equals(user.getUnionid())) { user.setUnionid(unionid); updateById(user); } updateUserInfo(user, wechatInfo); return user; } // 策略3: 全新用户创建记录 log.info(创建新用户openid: {}, unionid: {}, openid, unionid); user new User(); user.setOpenidMp(openid); // 根据实际平台设置 user.setUnionid(unionid); if (wechatInfo ! null) { user.setNickname(wechatInfo.getNickName()); user.setAvatarUrl(wechatInfo.getAvatarUrl()); user.setGender(wechatInfo.getGender()); user.setCountry(wechatInfo.getCountry()); user.setProvince(wechatInfo.getProvince()); user.setCity(wechatInfo.getCity()); } user.setLastLoginTime(new Date()); save(user); return user; } private void updateUserOpenid(User user, String openid, WechatUserInfo wechatInfo) { // 根据业务逻辑判断更新哪个openid字段此处示例更新mp if (!openid.equals(user.getOpenidMp())) { user.setOpenidMp(openid); updateById(user); } updateUserInfo(user, wechatInfo); } private void updateUserInfo(User user, WechatUserInfo wechatInfo) { boolean needUpdate false; if (wechatInfo ! null) { // 如果微信信息有更新则同步比如用户换了头像昵称 if (StringUtils.hasText(wechatInfo.getNickName()) !wechatInfo.getNickName().equals(user.getNickname())) { user.setNickname(wechatInfo.getNickName()); needUpdate true; } // 类似更新头像、地区等信息... user.setLastLoginTime(new Date()); if (needUpdate) { updateById(user); } } } }关键逻辑解析查找优先级unionid当前平台openid。因为unionid是跨平台唯一的用它找到的用户最准确。“查找或创建”这是一个典型的upsert操作更新或插入。MyBatis Plus没有原生支持需要手动实现上述逻辑。确保在事务 (Transactional) 内完成防止并发创建多个用户。信息更新每次登录都可能携带最新的微信用户信息特别是昵称和头像如果发现变化应该更新到数据库保证数据的时效性。4.3 使用MyBatis Plus的Lambda查询与分页在用户管理或其他业务场景中我们经常需要查询用户列表。// UserController.java GetMapping(/list) public ResultIPageUserVO listUsers(RequestParam(defaultValue 1) Integer pageNum, RequestParam(defaultValue 10) Integer pageSize, RequestParam(required false) String nickname) { PageUser page new Page(pageNum, pageSize); LambdaQueryWrapperUser wrapper new LambdaQueryWrapper(); wrapper.like(StringUtils.hasText(nickname), User::getNickname, nickname) .orderByDesc(User::getCreateTime); IPageUser userPage userService.page(page, wrapper); // 将User分页对象转换为UserVO分页对象返回 IPageUserVO voPage userPage.convert(user - convertToUserVO(user)); return Result.success(voPage); }MyBatis Plus的LambdaQueryWrapper提供了类型安全的查询条件构造避免了手写字段名的魔法字符串配合Page对象可以轻松实现分页查询这些特性在开发后台管理功能时非常高效。5. 进阶优化与生产环境避坑指南一套能跑通的登录流程只是基础要上线稳定运行还需要考虑很多细节。5.1 Token管理、刷新与安全JWT Token的生成与验证// TokenService.java Component public class TokenService { Value(${jwt.secret}) private String secret; Value(${jwt.expire}) private Long expire; public String createToken(User user) { Date now new Date(); Date expireDate new Date(now.getTime() expire * 1000); return Jwts.builder() .setHeaderParam(typ, JWT) .setSubject(user.getId().toString()) // 通常用userId作为主体 .claim(uid, user.getId()) .claim(uname, user.getNickname()) .setIssuedAt(now) .setExpiration(expireDate) .signWith(SignatureAlgorithm.HS512, secret) .compact(); } public boolean verifyToken(String token) { ... } public Long getUserIdFromToken(String token) { ... } }安全与刷新策略短期Token与刷新Token不要只用一个JWT。可以采用access_token(有效期2小时) refresh_token(有效期7天) 的模式。前端在access_token过期后用refresh_token调用特定接口换取新的access_token。refresh_token一次性使用用后即废并颁发新的refresh_token。Token黑名单对于主动退出登录或需要强制下线的场景可以将未过期的Token加入黑名单如存入Redis并设置过期时间。在每次验证Token时除了检查JWT本身的有效性还要查询黑名单。存储安全前端应将Token存储在localStorage或Vuex/Pinia中对于敏感操作如支付可以考虑使用短期会话Storage。5.2 应对微信API的限流与稳定性微信API有调用频率限制如jscode2session每分钟有限额。在用户量大的情况下直接调用容易触发限流。客户端限流在前端同一个用户短时间内不能重复点击登录按钮。服务端缓存在后端对于同一个code的验证结果可以缓存极短时间如5秒防止前端重复提交。session_key虽然不能长期缓存因为它可能会变但在一次登录会话周期内可以暂存。降级与熔断使用Resilience4j或Sentinel等组件当调用微信API失败率升高时快速失败或降级到备用方案如短信验证码登录。5.3 多端账号合并与用户迁移随着业务发展可能会遇到历史用户数据迁移或账号合并的需求。通过UnionID合并这是最理想的情况。在用户授权后如果发现新的unionid能关联到多个仅由openid标识的老账号可以设计一个合并流程将老账号的数据订单、收藏等归并到以unionid为主标识的账号下。手机号绑定合并提供手机号绑定功能。当用户绑定手机号后如果系统内已存在相同手机号的账号可以提示用户是否合并。手动客服合并对于复杂情况提供后台人工合并账号的功能。操作时需要非常谨慎做好数据备份和操作日志。5.4 监控、日志与排查一个健壮的登录系统离不开可观测性。关键日志点记录每次登录请求的平台、openid前几位、unionid、IP、时间和结果成功/失败及原因。但切勿记录完整的code、session_key或AppSecret。监控指标监控登录接口的QPS、成功率、平均耗时。监控微信API调用的失败率。常见问题排查清单前端code无效检查code是否已使用过一次性或已过期5分钟。检查小程序/开放平台AppID配置是否正确。后端解密失败确认前端传递的encryptedData、iv和session_key是否对应。session_key可能会因为用户重新登录微信而失效。获取不到unionid检查微信开放平台账号是否已正确绑定小程序/公众号。用户是否关注了关联的公众号某些条件下必需在微信开放平台查看“绑定”状态。H5登录回调页面白屏或报错检查授权回调域名配置是否精确不能带http://或路径检查回调页面代码是否能正确处理code和state参数并调用后端接口。登录功能是产品的门户其稳定性和用户体验至关重要。从uni-app前端的平台适配到Spring Boot后端的安全校验和业务逻辑再到MyBatis Plus的数据层操作每一个环节都需要仔细打磨。这套方案经过多个项目的验证能够支撑起百万级用户的登录需求。在实际开发中还需要结合具体的业务场景在用户协议、隐私政策提示等方面做好合规工作。