博客 (32)

* 若无特殊注明，本文中的“手机”包含平板电脑

判断网页是否在移动设备中打开

Web Form：

public static bool IsMobileDevice
{
    get
    {
        return (HttpContext.Current.Request.Browser?.IsMobileDevice ?? false)
            || (HttpContext.Current.Request.UserAgent?.Contains("Mobile") ?? false);
    }
}

ASP.NET Core：

好像还没有找到，可能是因为随着响应式布局的流行以及电脑和手机之间的界线越来越不明朗，取消了这个判断？

判断网页是否在微信浏览器中打开（宽松）

Web Form：

public bool IsInWechat
{
    get
    {
        return HttpContext.Current.Request.UserAgent?.Contains("MicroMessenger") ?? false;
    }
}

ASP.NET Core：

需注入 IHttpContextAccessor

public bool IsInWechat
{
    get
    {
        string ua = httpContextAccessor.HttpContext.Request.Headers[HeaderNames.UserAgent];
        return ua?.Contains("MicroMessenger") ?? false;
    }
}

判断网页是否在微信浏览器中打开（严谨）

使用 JS-SDK 网页授权来判断

ASP.NET Web API 返回 Unauthorized 401 未授权代码：

return Unauthorized(new AuthenticationHeaderValue("getUserInfo"));

响应的头部信息是这样的：

以微信小程序中获取 header 的 www-authenticate 为例，不同操作系统中获取的 key 是不一样的：

iOS：

Android：

微信开发者工具：

所以，小程序端获取该值，暂时使用以下代码吧：

let www_authenticate;
if (!www_authenticate) {
	www_authenticate = res.header['Www-Authenticate']; // iOS
}
if (!www_authenticate) {
	www_authenticate = res.header['WWW-Authenticate']; // Android / 微信开发者工具
}
if (!www_authenticate) {
	www_authenticate = res.header['www-authenticate']; // ASP.NET Web API 原始输出
}
if (!www_authenticate) {
	www_authenticate = res.header['WWW-AUTHENTICATE']; // 其它情况
}

微信支付商户平台注册时填写的企业法人为超级管理员，此处对比的是在“员工账号管理”中添加的“管理员”身份的账号，并且“配置权限”中勾选了所有权限。

前提：

若需获取用户 unionid，则小程序必须已绑定到微信开放平台。

1. 小程序调用 wx.login()，将 code 发送到开发者服务器

2. 开发者服务器请求微信接口 code2Session，获得 session_key、openid，有机会获得 unionid（参 UnionID 机制说明）。因此无需任何用户授权即可获取 openid

3. 访问须要已获取用户信息的页面时，可通过小程序端使用 button + getUserInfo 的方式请求用户授权

4. 访问须要已获取手机号码的页面时，可通过小程序端使用 button + getPhoneNumber 的方式请求用户授权
   

5. code2session、getUserInfo、getPhoneNumber 等接口返回数据存入数据库 dt_weapp_user

6. 服务端的任何接口均返回口令状态包（含自定义会话口令等信息），小程序端应保存于 storage
   

7. 请求 getUserInfo 后应判断 detail.errMsg 是否为 getUserInfo:ok，请求 getPhoneNumber 后应判断 detail.errMsg 是否为 getPhoneNumber:ok

8. 授权窗口的弹出情况参此文

9. 口令状态包是用来传递到客户端用来标识用户唯一凭证的，包含字段：会话口令（自定义用户凭证）、会话口令有效时间（秒）、是否已获取 unionid 或昵称（视业务需求）、是否已获取手机号码、uid（可选），以及其他用来标识业务身份字段。服务端可根据会话口令从数据库中获取该用户的所有已知信息。

   一般情况下，当已获取手机号码时，uid 必有值，否则，uid 必为空。因此 uid 不是必须传递到客户端的。

   通过 code2Session 获得的 session_key、以及 openid、unionid、手机号码等机密信息不允许包含在口令状态包中并缓存在客户端，客户端需要用到手机号码时单独调用接口获取。

10. 若业务不要求以手机号码作为用户唯一标识，那么口令状态包中不需要包含是否已获取手机号码，仅 uid 即可。在客户端访问须要业务用户登录的页面时，也仅判断 uid 有值即可。
    

流程图：

为更好地适应 2017.7.19 发布的《小程序内用户帐号登录规范调整和优化建议》，开发者服务器提供的所有业务逻辑接口的返回值中都应包含口令状态包，约定有以下相关的返回值和处理动作（返回值按个人喜好来定）：

• WWW-Authenticate 有大小写的问题，千万别入坑，参：https://xoyozo.net/Blog/Details/header-www-authenticate
  

• 返回内容是根据业务逻辑在服务端决定的，客户端在处理每个接口返回值时对返回内容作相应的处理即可。

其它 scope 会在用到时补充……

“允许后再发起，不弹”的 scope 可在“关于XXX小程序”右上角三点按钮中的“设置”来设置是否允许。

【推荐】临时口令和会话口令合二为一的流程（适合随时授权）

前提：

小程序已绑定到微信开放平台。

分两种场景：

场景一：仅需要获取 unionid，且不需要获取头像昵称等用户信息，且已经有很大部分用户仅通过 code2Session 就能获取到 unionid（如：已关注了绑定同一微信开放平台的其它公众号，参 UnionID 机制说明）；

场景二：仅需要获取 unionid，或需要获取 unionid 及头像昵称等用户信息，或很大部分用户不能通过 code2Session 获取到 unionid。

场景一步骤：

1. 小程序调用 wx.login()，将 code 发送到开发者服务器

2. 开发者服务器请求微信接口 code2Session，获得 session_key、openid，有机会获得 unionid

3. 若没有返回 unionid，尝试用 openid 从数据库中获取 unionid

4. 如果数据库中没有找到对应的 unionid，告知小程序端使用 button + getUserInfo 的方式请求用户授权

5. 授权允许（判断 detail.errMsg 是否为 getUserInfo:ok）则将加密数据传回开发者服务器进行解密，得到 unionid、头像、昵称等信息，保存到数据库

6. 若授权拒绝，则无动作，用户再次点击 button 会重新弹起授权框

* 该流程仅部分用户的首次使用才要求授权。其它注意事项和流程细节见下方流程图。

场景二步骤：

1. 小程序调用 wx.login()，将 code 发送到开发者服务器

2. 开发者服务器请求微信接口 code2Session，获得 session_key、openid

3. 尝试用 openid 从数据库中获取 unionid 和/或 用户信息

4. 如果数据库中没有找到对应的 unionid 和/或 用户信息，告知小程序端使用 button + getUserInfo 的方式请求用户授权

5. 授权允许（判断 detail.errMsg 是否为 getUserInfo:ok）则将加密数据传回开发者服务器进行解密，得到 unionid、头像、昵称等信息，保存到数据库

6. 若授权拒绝，则无动作，用户再次点击 button 会重新弹起授权框

* 该流程仅每个用户的首次使用才要求授权。其它注意事项和流程细节见下方流程图。

上述两种场景的设计流程，只要数据库中已保存用户的 unionid（和/或 用户信息），都不再需要用户再次授权（即使在“设置”中关闭了“用户信息”授权，点击小程序右上角三点按钮，选择关于小程序，点击右上角的三点，选择设置）。

场景一流程图：

场景二流程图：

流程图中的“临时口令”仅用于关联“通过 code2Session 获得的 session_key”，并在用户授权后带回换取 session_key。原因是 session_key 是机密数据，不允许被传到小程序端。临时口令用完即删（设置表 dt__weapp_code2session 中相应记录的该字段为空）。

【推荐】临时口令和会话口令合二为一的流程（适合随时授权）

微信小程序 login 后，在用 code 换 session 时，如果小程序绑定了微信开放平台，应该会返回 unionid。

文档：https://developers.weixin.qq.com/miniprogram/dev/api-backend/code2Session.html。

但实际上部分用户仍然是没有 unionid 的，把上述接口返回的数据记录下来如：

仔细阅读官方 UnionID 机制说明，通过用户授权 wx.getUserInfo 才会保证有 unionid 返回，否则只会在“用户关注了绑定同一微信开放平台的同主体的公众号”等情况下才会返回 unionid。

确保获取 unionid 流程参此文。

① 摄像头扫码：无法直接用“识别二维码”，必须把二维码发送到身边的其它设备，再使用手机摄像头完成扫码。

② 成为运营者要求绑定银行卡；成为运营者将占用“微信号绑定的帐号”数量，详见说明。若达到上限，只有法定代表人可继续成为运营者。在公众号“公众平台安全助手”中可查询绑定的帐号。

另外：

• 小程序添加/删除体验成员无须管理员授权

• 如果管理员未关注公众号“公众平台安全助手”，待测……
  

本文基于初期只开放微信小程序，后期向 iOS/Android/H5 等多终端开放的场景设计，且并不要求“登录即必须绑定手机号码”。如初期即同时多终端推出请参考此文。

项目初期，微信小程序以 openid 作为用户的唯一标识，因此在其它平台也需要用微信来授权登录。但同一微信用户在小程序和 App 上使用微信授权登录后的 openid 并不相同，必须同时绑定到微信开放平台，通过 unionid 关联用户，作为用户的唯一标识。