微信开发 网页授权获取用户基本信息实用指南

平时做技术实践时，很多问题不是概念不会，而是细节没串起来。拿“微信开发 网页授权获取用户基本信息”来说，它看着像小点，放到项目里常会牵出环境、配置、兼容性和维护成本。下面按实际采用顺序，把思路、关键写法和容易踩坑的地方讲清楚，便于大家直接对照操作。

落到代码里，微信公众平台最近新推出微信认证，认证后能够获得高级接口权限，其中一个是OAuth2.0网页授权，很多朋友在采用这个的时候失败了或者无法理解其内容，希望我出个教程细致说明一下，于是便有了这篇文章。

一、什么是OAuth2.0

官方网站：（链接已移除） （链接已移除）

权威定义：OAuth is An open protocol to allow secure authorization in a simple and standard method from web, mobile and desktop applications.

实际处理时，OAuth是一个开放协议，允许用户让第三方应用以安全且标准的方式拿到该用户在某一网站、移动或桌面应用上存储的私密的资源（如用户个人信息、照片、视频、联系人列表），而无需将用户名和密码提供给第三方应用。

结合项目来看，OAuth 2.0是OAuth协议的下一版本，但不向后兼容OAuth 1.0。 OAuth 2.0关注客户端开发者的简易性，同时为Web应用，桌面应用和手机，和起居室设备提供专门的认证流程。

结合项目来看，OAuth允许用户提供一个令牌，而不是用户名和密码来访问他们存放在特定服务提供者的数据。每一个令牌授权一个特定的网站（比如，视频编辑网站)在特定的时段（比如，下面的2小时内）内访问特定的资源（比如仅仅是某一相册中的视频）。这样，OAuth允许用户授权第三方网站访问他们存储在另外的服务提供者上的信息，而不需分享他们的访问许可或他们数据的所有内容。

新浪微博API目前也采用OAuth 2.0。

原文：（链接已移除）

二、微信公众平台OAuth2.0授权

微信公众平台OAuth2.0授权详细步骤如下所示：

1. 用户关注微信公众账号。
2. 微信公众账号提供用户请求授权页面URL。
3. 用户点击授权页面URL，将向服务器发起请求
4. 服务器询问用户是否同意授权给微信公众账号(scope为snsapi_base时无此步骤)
5. 用户同意(scope为snsapi_base时无此步骤)
6. 服务器将CODE借助回调传给微信公众账号
7. 微信公众账号获得CODE
8. 微信公众账号借助CODE向服务器请求Access Token
9. 服务器得到Access Token和OpenID给微信公众账号
10. 微信公众账号借助Access Token向服务器请求用户信息(scope为snsapi_base时无此步骤)
11. 服务器将用户信息回送给微信公众账号(scope为snsapi_base时无此步骤)

在这个场景下，采用的AppId和AppSecret在开发者中心-开发者ID中，能够找到。

1. 设置授权回调页面域名

落到代码里，进入微信公众平台后台后，依次进入开发者中心-权限表，找到网页授权拿到用户基本信息，

点击右侧的修改。原文：（链接已移除）

落到代码里，授权回调域名设置规范为全域名同时且不带http，比如需网页授权的域名为：www.qq.com，设置以后此域名下面的页面（链接已移除）、 （链接已移除） 都能够进行OAuth2.0鉴权。但（链接已移除）、 （链接已移除）、 （链接已移除）。

这里我们填写方倍工作室的一个百度应用二级域名为 mascot.duapp.com

原文：（链接已移除）

若你的网址没有被列入过黑名单，就会在顶部出现

然后，域名设置就成功了。

2. 用户授权并拿到code

在域名根目录下，新建一个文件，命名为oauth2.php，其内容为

<?php
if (isset($_GET[‘code‘])){
 echo $_GET[‘code‘];
}else{
 echo "NO CODE";
}
?>

先了解下请求授权页面的构造方式：

（链接已移除）

参数说明

应用授权作用域：由于snsapi_base只能拿到到openid，意义不大，所以我们采用snsapi_userinfo。

回调地址：填写为刚才上传后的oauth2.php的文件地址，

state参数：随便一个数字，这里填1

构造请求url如下所示：

（链接已移除）

结合项目来看，把这个链接发送到微信中，以便在微信浏览器中打开，这里采用A链接封装如下所示：

结合项目来看，欢迎关注【近宝】，它能让你更加便于寻找在你附近合你心意的餐饮、服装、百货、美容美发店铺。
点击这里绑定
技术兼容 方倍工作室

在微信中显示如下所示

点击绑定后，弹出应用授权界面

选择允许，点击

跳转到auth2.php页面，执行

echo $_GET[‘code‘]

从实现思路看，界面上显示的就是code，这时候借助右上角按钮中的复制链接，得到链接如下所示：

（链接已移除）

我们成功得到了code了。

注意：如果在绑定的时候出现这样的界面，就说明参数不对，需回头检查一下参数

3. 采用code换取access_token

换取网页授权access_token页面的构造方式：

（链接已移除）

参数说明

code：在这里填写为上一步获得的值

构造请求url如下所示：

（链接已移除）

能够在浏览器中直接执行这条语句：

(

这里是关键,就是借助上面的url拿到json数据的代码

　　　$ch = curl_init();
  curl_setopt($ch, CURLOPT_URL, $url);
  curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); // 要求结果为字符串且输出到屏幕上
  curl_setopt($ch, CURLOPT_HEADER, 0); // 不要http header 加快效率
  curl_setopt($ch, CURLOPT_USERAGENT, ‘Mozilla/5.0 (compatible; MSIE 5.01; Windows NT 5.0)‘);
  curl_setopt($ch, CURLOPT_TIMEOUT, 15);
  curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, FALSE); // https请求 不验证证书和hosts
  curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, FALSE);  
  $output = curl_exec($ch);
  curl_close($ch);
  $jsondecode = json_decode($output); //对JSON格式的字符串进行编码
  $array = get_object_vars($jsondecode);//转换成数组 
　　　　 //红色两行是重点,针对https的,让我纠结了一天多

  echo $array;

)

得到如下所示json数据:

{
 "access_token": "OezXcEiiBSKSxW0eoylIeAsR0GmYd1awCffdHgb4fhS_KKf2CotGj2cBNUKQQvj-G0ZWEE5-uBjBz941EOPqDQy5sS_GCs2z40dnvU99Y5AI1bw2uqN--2jXoBLIM5d6L9RImvm8Vg8cBAiLpWA8Vw",
 "expires_in": 7200,
 "refresh_token": "OezXcEiiBSKSxW0eoylIeAsR0GmYd1awCffdHgb4fhS_KKf2CotGj2cBNUKQQvj-G0ZWEE5-uBjBz941EOPqDQy5sS_GCs2z40dnvU99Y5CZPAwZksiuz_6x_TfkLoXLU7kdKM2232WDXB3Msuzq1A",
 "openid": "oLVPpjqs9BhvzwPj5A-vTYAX3GLc",
 "scope": "snsapi_userinfo,"
}

数据格式解读如下所示：

落到代码里，于是，我们成功的借助code换取到了access_token，以及refresh_token。

刷新access_token

落到代码里，官方文档中提到了刷新access_token的功能，但这不是必须要做的，初次采用能够先忽略。

url请求方法如下所示：

（链接已移除）

参数说明

构造如下所示：
（链接已移除）

在浏览器中执行得到前面同样格式的json数据

4. 采用access_token拿到用户信息

请求方法：

（链接已移除）
参数说明

构造url如下所示：

（链接已移除）

能够在浏览器中直接执行这条语句：

得到如下所示json数据:

{
 "openid": "oLVPpjqs9BhvzwPj5A-vTYAX3GLc",
 "nickname": "方倍",
 "sex": 1,
 "language": "zh_CN",
 "city": "Shenzhen",
 "province": "Guangdong",
 "country": "CN",
 "headimgurl": "http://wx.qlogo.cn/mmopen/utpKYf69VAbCRDRlbUsPsdQN38DoibCkrU6SAMCSNx558eTaLVM8PyM6jlEGzOrH67hyZibIZPXu4BK1XNWzSXB3Cs4qpBBg18/0",
 "privilege": []
}

参数解读：

这与我个人的微信信息是一致的

结合项目来看，至此，在不输入我的账号及密码的情况下，微信公众账号近宝获得了我的个人信息，这些信息包括昵称、性别、国家、省份、城市、个人头像以及特权列表。

一个完整的OAuth2认证就完成了。

三、详细演示

关注方倍工作室(二维码见下图)，回复“授权”，得到图文消息，点击图片

在确认页面，点击“允许”

在这个场景下，弹出拿到到的结果（图片做了防盗处理，所以不能直接显示出来，能够下载到本地再来显示）

落到代码里，以上就是关于微信开发，网页授权拿到用户信息的资料整理，后续继续补充相关资料，谢谢大家对本站的兼容！