uni-app微信登录全栈实战：Spring Boot后端与MyBatis Plus数据持久化

1. 从零到一：为什么选择uni-app与微信登录？

如果你正在开发一个需要跨端发布（比如同时上架微信小程序、H5、App）的项目，并且核心功能离不开用户身份体系，那么“uni-app + 微信登录”这个组合大概率已经进入了你的技术选型清单。我最近刚完成一个社区类项目的用户系统重构，核心就是这套方案。选择它，不是因为跟风，而是经过一番权衡后的结果。

首先，uni-app解决了“一次开发，多端发布”的核心痛点。对于初创团队或个人开发者而言，维护多套代码（小程序原生、H5、iOS、Android）的成本是难以承受的。uni-app基于Vue.js，对于前端开发者来说上手极快，其条件编译机制又能很好地处理各平台的差异。这意味着，你主要的登录业务逻辑可以写一套，然后通过简单的条件编译（如#ifdef MP-WEIXIN）来微调不同端的实现细节，极大地提升了开发效率。

其次，微信登录是当前国内移动互联网的“基础设施”。对于C端产品，尤其是小程序和轻量级H5应用，让用户重新注册一套账号密码的转化漏斗是惊人的。微信登录提供了近乎“一键授权”的体验，用户认知成本低，授权率高。更重要的是，它背后关联着微信的社交关系链和支付能力，这对于构建有粘性的社区或需要交易闭环的应用来说，价值巨大。

但是，把这两者结合起来，并不是简单的API调用。你会遇到一系列具体问题：uni-app中如何优雅地调用微信登录API？获取到的code如何安全地传到自己的后端？后端Spring Boot服务该如何与微信服务器交互，验证code并换取真正的用户标识？换回的session_key和openid又该如何管理，并安全地生成自定义登录态（如Token）返回给前端？这一连串的环节，任何一个处理不当，都会导致登录失败、安全漏洞或糟糕的用户体验。

接下来，我将以一个完整的、可落地的项目实践为例，拆解从uni-app前端发起登录，到Spring Boot后端处理，再到MyBatis Plus进行用户信息落库的每一个步骤、每一个坑点，以及那些官方文档不会告诉你的实战经验。

2. 前端实战：uni-app中微信登录的完整流程与细节把控

在uni-app中实现微信登录，根据运行平台的不同，代码路径有所区别。主要分为微信小程序和H5/App（使用微信开放平台能力）两大场景。这里我们以最复杂也最常用的“同时支持小程序和H5”为例进行详解。

2.1 环境准备与权限配置

在写第一行代码之前，正确的配置是成功的一半。

对于微信小程序：

1. 获取AppID：在 微信公众平台 注册小程序，获得唯一的AppID。
2. 配置服务器域名：在小程序后台的“开发”->“开发设置”->“服务器域名”中，将你的后端Spring Boot API地址（如https://api.yourdomain.com）添加到request合法域名中。否则，uni-app发起的网络请求将被微信拦截。
3. 开通登录能力：在“开发”->“开发设置”->“消息推送”或直接搜索“登录”，确保“微信登录”能力已开启（通常默认开启）。

对于H5（微信内网页）：

1. 获取开放平台AppID：需要在 微信开放平台 创建网站应用，审核通过后获得另一个AppID。注意，这个ID和小程序的AppID不同。
2. 配置授权回调域：在开放平台应用详情页的“授权回调域”中，填写你的H5页面所在的一级域名（如yourdomain.com）。微信在登录成功后，只会跳转回此域名下的页面。

uni-app项目配置：在manifest.json文件中，你需要配置这些AppID。

// manifest.json -> mp-weixin 节点 "mp-weixin": { "appid": "你的小程序AppID", "setting": { "urlCheck": false // 开发阶段可关闭域名校验 }, "usingComponents": true }

对于H5的开放平台AppID，无法在此静态配置，通常需要在运行时根据环境动态传入，或写在一个公共配置文件中。

2.2 核心登录代码实现（区分平台）

uni-app提供了uni.login和uni.getUserProfile等API，但它们在不同平台下的行为差异很大，必须做条件编译。

场景一：微信小程序登录小程序登录流程相对直接，因为uni-app运行时就在微信容器内。

// pages/login/login.vue export default { methods: { async weixinMiniProgramLogin() { // 1. 调用uni.login获取临时凭证code const [loginErr, loginRes] = await uni.login({ provider: 'weixin', // 在微信小程序中，provider为'weixin'，且仅支持微信小程序 // #ifdef MP-WEIXIN onlyAuthorize: false // 通常设为false，获取code // #endif }); if (loginErr) { uni.showToast({ title: '登录失败，请重试', icon: 'none' }); return; } const code = loginRes.code; // 这个code有效期5分钟，必须尽快发送到后端 // 2. (可选但推荐) 获取用户信息，需用户主动授权按钮触发 // 注意：uni.getUserInfo接口已调整，建议使用`<button open-type="getUserInfo">`或`uni.getUserProfile` // 这里展示使用按钮引导授权的方式，更符合规范 }, // 此方法由页面上的 `<button open-type="getUserInfo" @getuserinfo="onGetUserInfo">` 触发 async onGetUserInfo(e) { if (e.detail.errMsg === 'getUserInfo:ok') { const userInfo = e.detail.userInfo; // 包含昵称、头像等 const encryptedData = e.detail.encryptedData; const iv = e.detail.iv; // 将code、encryptedData、iv一起发送给后端 // 后端用session_key可以解密encryptedData，得到完整的用户信息 this.sendLoginRequestToBackend({ code: this.tempCode, // 需要提前保存上一步获取的code encryptedData, iv, platform: 'mp-weixin' }); } else { // 用户拒绝了授权 uni.showToast({ title: '授权失败，部分功能将无法使用', icon: 'none' }); // 可以尝试仅用code登录，获取openid，但无法得到头像昵称 this.sendLoginRequestToBackend({ code: this.tempCode, platform: 'mp-weixin' }); } } } }

关键点：小程序端的code是通过uni.login静默获取的（用户无感）。而用户头像、昵称等敏感信息，必须通过一个按钮（open-type="getUserInfo"）引导用户主动点击授权后才能获得。这是微信为了规范数据获取做出的强制要求。encryptedData和iv是加密后的用户信息，需要后端用session_key解密。

场景二：H5（微信内网页）登录H5的登录流程是OAuth2.0授权码模式，需要跳转到微信的授权页，再跳转回来。

// utils/login.js - 封装H5微信登录函数 export const h5WeixinLogin = () => { // #ifdef H5 // 判断是否在微信浏览器内 const isWeixin = /micromessenger/i.test(navigator.userAgent); if (!isWeixin) { uni.showModal({ content: '请在微信内打开此页面进行登录', showCancel: false }); return; } // 构造微信授权URL const appid = '你的开放平台网站应用AppID'; // 应从配置中心读取 const redirectUri = encodeURIComponent(window.location.origin + '/pages/login/callback'); // 回调页面 const state = 'YOUR_STATE'; // 建议生成随机字符串，用于防CSRF攻击 const scope = 'snsapi_userinfo'; // 需要获取用户信息时用snsapi_userinfo，静默登录用snsapi_base const authUrl = `https://open.weixin.qq.com/connect/oauth2/authorize?appid=${appid}&redirect_uri=${redirectUri}&response_type=code&scope=${scope}&state=${state}#wechat_redirect`; // 跳转到微信授权页面 window.location.href = authUrl; // #endif }; // pages/login/callback.vue - 授权回调页面 export default { onLoad(query) { const { code, state } = query; // 1. 验证state，防止CSRF攻击 if (state !== 'YOUR_STATE') { uni.showToast({ title: '状态校验失败', icon: 'none' }); return; } // 2. 将code发送给后端 this.sendCodeToBackend(code, 'h5-weixin'); // 3. 登录成功后，跳转回原页面或首页 } }

踩坑实录：H5登录最大的坑在于回调页面的处理。这个页面（如上例中的/pages/login/callback）必须是一个真实存在的、独立的Vue页面，它只负责接收code并调用后端接口。登录成功后，通常需要跳转回用户原本想访问的页面。这里涉及复杂的路由状态管理。一个实用的技巧是：在发起授权前，用uni.setStorageSync('login_back_url', currentRoute)保存当前页面路径，在回调页面登录成功后，再取出这个路径进行跳转。

2.3 统一登录请求封装与状态管理

无论来自哪个平台，前端在获取到核心凭证（小程序的code+encryptedData+iv，或H5的code）后，都需要调用同一个后端登录接口。

// api/user.js import request from '@/utils/request'; // 假设你封装了uni.request export function loginByWeixin(data) { // data: { code, encryptedData, iv, platform } return request({ url: '/api/auth/weixin-login', method: 'POST', data }); } // 在Vue组件中调用 async sendLoginRequestToBackend(loginParams) { uni.showLoading({ title: '登录中...' }); try { const res = await loginByWeixin(loginParams); if (res.code === 200) { const { token, userInfo } = res.data; // 1. 存储Token (建议用Vuex/Pinia做状态管理，同时持久化到Storage) uni.setStorageSync('access_token', token); this.$store.commit('user/SET_TOKEN', token); // 2. 存储用户信息 this.$store.commit('user/SET_USER_INFO', userInfo); uni.showToast({ title: '登录成功' }); // 3. 跳转或返回 const backUrl = uni.getStorageSync('login_back_url') || '/pages/index/index'; uni.reLaunch({ url: backUrl }); } else { uni.showToast({ title: res.message || '登录失败', icon: 'none' }); } } catch (error) { console.error('登录请求失败:', error); uni.showToast({ title: '网络请求失败', icon: 'none' }); } finally { uni.hideLoading(); } }

状态管理建议：对于用户登录态（Token），我强烈建议采用“内存(Vuex/Pinia) + 持久化(Storage)”的双重模式。内存中存储便于响应式更新UI，持久化存储保证App刷新或重启后仍能保持登录。同时，需要在全局请求拦截器（如封装的request中）自动将Token添加到请求头Authorization中。

3. 后端基石：Spring Boot如何安全处理微信登录

前端把“原料”（code等）送过来了，后端的任务就是把这些原料加工成系统可识别的“通行证”（Token）。这个过程的核心是与微信服务器的两次交互，以及自身登录态的安全管理。

3.1 构建与微信服务器的安全通信

首先，你的Spring Boot项目需要能发送HTTP请求到微信API。推荐使用Spring Boot自带的RestTemplate或更现代的WebClient。

1. 配置微信API参数将这些配置放在application.yml中，便于不同环境切换。

weixin: mp: app-id: ${WEIXIN_MP_APPID:你的小程序AppID} app-secret: ${WEIXIN_MP_SECRET:你的小程序AppSecret} # 务必保密！ open: app-id: ${WEIXIN_OPEN_APPID:你的开放平台AppID} app-secret: ${WEIXIN_OPEN_SECRET:你的开放平台AppSecret} # 务必保密！ api: jscode2session: https://api.weixin.qq.com/sns/jscode2session # 小程序登录 oauth2-access-token: https://api.weixin.qq.com/sns/oauth2/access_token # H5登录 user-info: https://api.weixin.qq.com/sns/userinfo # 获取H5用户信息

2. 封装微信服务工具类创建一个WeixinService，统一处理与微信的通信、错误处理和结果解析。

@Component @Slf4j public class WeixinService { @Value("${weixin.mp.app-id}") private String mpAppId; @Value("${weixin.mp.app-secret}") private String mpAppSecret; @Value("${weixin.open.app-id}") private String openAppId; @Value("${weixin.open.app-secret}") private String openAppSecret; private final RestTemplate restTemplate; public WeixinService(RestTemplateBuilder builder) { this.restTemplate = builder.build(); } /** * 小程序登录：code换session_key和openid */ public MpLoginResult code2Session(String code) { String url = String.format("https://api.weixin.qq.com/sns/jscode2session?appid=%s&secret=%s&js_code=%s&grant_type=authorization_code", mpAppId, mpAppSecret, code); String response = restTemplate.getForObject(url, String.class); log.info("微信小程序登录响应: {}", response); MpLoginResult result = JSON.parseObject(response, MpLoginResult.class); if (result.getErrcode() != null && result.getErrcode() != 0) { throw new BusinessException("微信登录失败: " + result.getErrmsg()); } return result; // 包含 session_key, openid, unionid(如果有关联) } /** * H5登录：code换access_token和openid */ public OAuth2AccessToken getOAuth2AccessToken(String code) { String url = String.format("https://api.weixin.qq.com/sns/oauth2/access_token?appid=%s&secret=%s&code=%s&grant_type=authorization_code", openAppId, openAppSecret, code); String response = restTemplate.getForObject(url, String.class); OAuth2AccessToken token = JSON.parseObject(response, OAuth2AccessToken.class); if (token.getErrcode() != null && token.getErrcode() != 0) { throw new BusinessException("微信网页授权失败: " + token.getErrmsg()); } return token; // 包含 access_token, openid, unionid } // 内部类定义返回结果 @Data public static class MpLoginResult { private String session_key; private String openid; private String unionid; private Integer errcode; private String errmsg; } @Data public static class OAuth2AccessToken { private String access_token; private String openid; private String unionid; private Integer errcode; private String errmsg; } }

核心安全提醒：AppSecret是最高机密，必须通过环境变量注入（如${WEIXIN_MP_SECRET}），绝对不要硬编码在代码或提交到Git仓库。微信的API调用有频率限制，生产环境务必做好缓存和限流。

3.2 设计登录API接口与业务逻辑

现在，我们来创建处理前端登录请求的Controller。

@RestController @RequestMapping("/api/auth") @Slf4j public class AuthController { @Autowired private WeixinService weixinService; @Autowired private UserService userService; @Autowired private TokenService tokenService; @PostMapping("/weixin-login") public Result<LoginVO> weixinLogin(@RequestBody @Valid WeixinLoginDTO dto) { // dto包含: code, encryptedData, iv, platform String openid; String unionid = null; String sessionKey = null; WechatUserInfo userInfo = null; // 步骤1: 根据平台，调用微信API换取openid/session_key if ("mp-weixin".equals(dto.getPlatform())) { // 小程序登录 WeixinService.MpLoginResult mpResult = weixinService.code2Session(dto.getCode()); openid = mpResult.getOpenid(); unionid = mpResult.getUnionid(); sessionKey = mpResult.getSession_key(); // 如果有加密数据，则解密获取用户信息 if (StringUtils.hasText(dto.getEncryptedData()) && StringUtils.hasText(dto.getIv())) { try { String decryptData = WxDecryptUtil.decrypt(dto.getEncryptedData(), sessionKey, dto.getIv()); userInfo = JSON.parseObject(decryptData, WechatUserInfo.class); } catch (Exception e) { log.warn("解密微信用户信息失败，用户可能未授权头像昵称", e); // 不解密失败不影响核心登录，只是拿不到用户信息 } } } else if ("h5-weixin".equals(dto.getPlatform())) { // H5登录 WeixinService.OAuth2AccessToken oauthToken = weixinService.getOAuth2AccessToken(dto.getCode()); openid = oauthToken.getOpenid(); unionid = oauthToken.getUnionid(); // H5场景，如果需要用户信息，可以用access_token和openid再调一次/userinfo接口 // 但通常H5授权时scope已是snsapi_userinfo，可以直接拿到 } else { throw new BusinessException("不支持的登录平台"); } // 步骤2: 根据openid/unionid查找或创建本地用户 User user = userService.findOrCreateByWechatId(openid, unionid, userInfo); // 步骤3: 生成自定义登录态Token (如JWT) String token = tokenService.createToken(user); // 步骤4: 返回Token和必要的用户信息给前端 LoginVO vo = new LoginVO(); vo.setToken(token); vo.setUserInfo(convertToUserInfoVO(user)); return Result.success(vo); } }

DTO/VO对象示例：

@Data public class WeixinLoginDTO { @NotBlank(message = "code不能为空") private String code; private String encryptedData; // 小程序专用 private String iv; // 小程序专用 @NotBlank(message = "平台标识不能为空") private String platform; // mp-weixin, h5-weixin } @Data public class LoginVO { private String token; private UserInfoVO userInfo; }

3.3 用户信息解密与UnionID机制

解密encryptedData：微信返回的加密数据，需要使用之前获取的session_key和前端传来的iv进行对称解密。

// WxDecryptUtil.java public class WxDecryptUtil { public static String decrypt(String encryptedData, String sessionKey, String iv) throws Exception { // 使用AES-128-CBC解密，PKCS#7填充 byte[] keyBytes = Base64.getDecoder().decode(sessionKey); byte[] ivBytes = Base64.getDecoder().decode(iv); byte[] encryptedBytes = Base64.getDecoder().decode(encryptedData); Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding"); SecretKeySpec keySpec = new SecretKeySpec(keyBytes, "AES"); IvParameterSpec ivSpec = new IvParameterSpec(ivBytes); cipher.init(Cipher.DECRYPT_MODE, keySpec, ivSpec); byte[] decryptedBytes = cipher.doFinal(encryptedBytes); return new String(decryptedBytes, StandardCharsets.UTF_8); // 解密后得到JSON字符串，包含openId, nickName, avatarUrl等 } }

UnionID的重要性：如果同一个微信开放平台账号下绑定了多个应用（小程序、公众号、移动应用等），那么这些应用在用户授权后，获取到的unionid是相同的，而openid在不同应用间是不同的。unionid是打通同一用户在不同微信产品间身份的唯一标识。在设计用户表时，强烈建议将unionid作为比openid更优先的用户标识字段。这样，即使用户在不同的小程序或公众号中授权，你也能识别出是同一个用户。

4. 数据持久化：MyBatis Plus下的用户表设计与操作

后端逻辑处理完后，需要将用户信息持久化到数据库。MyBatis Plus能极大简化这部分工作。

4.1 用户表结构设计

一个典型的、支持微信登录的用户表设计如下：

CREATE TABLE `t_user` ( `id` bigint(20) NOT NULL AUTO_INCREMENT COMMENT '主键', `username` varchar(50) DEFAULT NULL COMMENT '系统用户名（可后续绑定）', `nickname` varchar(100) DEFAULT NULL COMMENT '微信昵称', `avatar_url` varchar(500) DEFAULT NULL COMMENT '微信头像', `openid_mp` varchar(100) DEFAULT NULL COMMENT '小程序openid', `openid_h5` varchar(100) DEFAULT NULL COMMENT 'H5 openid', `unionid` varchar(100) DEFAULT NULL UNIQUE COMMENT '微信开放平台unionid，唯一索引', `gender` tinyint(1) DEFAULT NULL COMMENT '性别 0未知 1男 2女', `country` varchar(50) DEFAULT NULL, `province` varchar(50) DEFAULT NULL, `city` varchar(50) DEFAULT NULL, `mobile` varchar(20) DEFAULT NULL COMMENT '手机号（可后续绑定）', `status` tinyint(1) NOT NULL DEFAULT '1' COMMENT '状态 1正常 0禁用', `last_login_time` datetime DEFAULT NULL COMMENT '最后登录时间', `create_time` datetime NOT NULL DEFAULT CURRENT_TIMESTAMP, `update_time` datetime NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP, PRIMARY KEY (`id`), UNIQUE KEY `uk_unionid` (`unionid`), INDEX `idx_openid_mp` (`openid_mp`), INDEX `idx_openid_h5` (`openid_h5`) ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='用户表';

设计要点：

1. 分离不同平台的openid：openid_mp和openid_h5分开存储，因为它们是不同的标识符。查询时根据登录平台查询对应字段。
2. UnionID作为核心关联键：unionid字段建立唯一索引，是识别同一微信用户在不同应用下身份的关键。如果用户先通过小程序登录（有unionid），后又通过H5登录（也有相同的unionid），你可以通过unionid找到已存在的用户记录，更新其openid_h5字段即可，实现账号打通。
3. 预留扩展字段：username,mobile用于后续用户绑定手机号或设置独立账号。status用于管理用户状态。

4.2 使用MyBatis Plus实现“查找或创建”逻辑

在UserService中，实现findOrCreateByWechatId方法是核心。

@Service @Slf4j public class UserServiceImpl extends ServiceImpl<UserMapper, User> implements UserService { @Override @Transactional(rollbackFor = Exception.class) public User findOrCreateByWechatId(String openid, String unionid, WechatUserInfo wechatInfo) { User user = null; // 策略1: 优先通过unionid查找用户 (最准确) if (StringUtils.hasText(unionid)) { user = lambdaQuery().eq(User::getUnionid, unionid).one(); if (user != null) { log.info("通过unionid找到已存在用户: {}", unionid); // 更新对应平台的openid（可能用户换了新设备登录） updateUserOpenid(user, openid, wechatInfo); return user; } } // 策略2: 如果无unionid或未找到，则通过当前平台的openid查找 // 这里需要根据调用方传入的平台信息，决定查询哪个字段，为简化示例，假设我们知道是mp user = lambdaQuery().eq(User::getOpenidMp, openid).one(); if (user != null) { log.info("通过openid找到已存在用户: {}", openid); // 如果本次有unionid而记录中没有，则更新unionid（重要！） if (StringUtils.hasText(unionid) && !unionid.equals(user.getUnionid())) { user.setUnionid(unionid); updateById(user); } updateUserInfo(user, wechatInfo); return user; } // 策略3: 全新用户，创建记录 log.info("创建新用户，openid: {}, unionid: {}", openid, unionid); user = new User(); user.setOpenidMp(openid); // 根据实际平台设置 user.setUnionid(unionid); if (wechatInfo != null) { user.setNickname(wechatInfo.getNickName()); user.setAvatarUrl(wechatInfo.getAvatarUrl()); user.setGender(wechatInfo.getGender()); user.setCountry(wechatInfo.getCountry()); user.setProvince(wechatInfo.getProvince()); user.setCity(wechatInfo.getCity()); } user.setLastLoginTime(new Date()); save(user); return user; } private void updateUserOpenid(User user, String openid, WechatUserInfo wechatInfo) { // 根据业务逻辑判断更新哪个openid字段，此处示例更新mp if (!openid.equals(user.getOpenidMp())) { user.setOpenidMp(openid); updateById(user); } updateUserInfo(user, wechatInfo); } private void updateUserInfo(User user, WechatUserInfo wechatInfo) { boolean needUpdate = false; if (wechatInfo != null) { // 如果微信信息有更新，则同步（比如用户换了头像昵称） if (StringUtils.hasText(wechatInfo.getNickName()) && !wechatInfo.getNickName().equals(user.getNickname())) { user.setNickname(wechatInfo.getNickName()); needUpdate = true; } // 类似更新头像、地区等信息... user.setLastLoginTime(new Date()); if (needUpdate) { updateById(user); } } } }

关键逻辑解析：

1. 查找优先级：unionid>当前平台openid。因为unionid是跨平台唯一的，用它找到的用户最准确。
2. “查找或创建”：这是一个典型的upsert操作（更新或插入）。MyBatis Plus没有原生支持，需要手动实现上述逻辑。确保在事务 (@Transactional) 内完成，防止并发创建多个用户。
3. 信息更新：每次登录都可能携带最新的微信用户信息（特别是昵称和头像），如果发现变化，应该更新到数据库，保证数据的时效性。

4.3 使用MyBatis Plus的Lambda查询与分页

在用户管理或其他业务场景中，我们经常需要查询用户列表。

// UserController.java @GetMapping("/list") public Result<IPage<UserVO>> listUsers(@RequestParam(defaultValue = "1") Integer pageNum, @RequestParam(defaultValue = "10") Integer pageSize, @RequestParam(required = false) String nickname) { Page<User> page = new Page<>(pageNum, pageSize); LambdaQueryWrapper<User> wrapper = new LambdaQueryWrapper<>(); wrapper.like(StringUtils.hasText(nickname), User::getNickname, nickname) .orderByDesc(User::getCreateTime); IPage<User> userPage = userService.page(page, wrapper); // 将User分页对象转换为UserVO分页对象返回 IPage<UserVO> voPage = userPage.convert(user -> convertToUserVO(user)); return Result.success(voPage); }

MyBatis Plus的LambdaQueryWrapper提供了类型安全的查询条件构造，避免了手写字段名的魔法字符串，配合Page对象可以轻松实现分页查询，这些特性在开发后台管理功能时非常高效。

5. 进阶优化与生产环境避坑指南

一套能跑通的登录流程只是基础，要上线稳定运行，还需要考虑很多细节。

5.1 Token管理、刷新与安全

JWT Token的生成与验证：

// TokenService.java @Component public class TokenService { @Value("${jwt.secret}") private String secret; @Value("${jwt.expire}") private Long expire; public String createToken(User user) { Date now = new Date(); Date expireDate = new Date(now.getTime() + expire * 1000); return Jwts.builder() .setHeaderParam("typ", "JWT") .setSubject(user.getId().toString()) // 通常用userId作为主体 .claim("uid", user.getId()) .claim("uname", user.getNickname()) .setIssuedAt(now) .setExpiration(expireDate) .signWith(SignatureAlgorithm.HS512, secret) .compact(); } public boolean verifyToken(String token) { ... } public Long getUserIdFromToken(String token) { ... } }

安全与刷新策略：

1. 短期Token与刷新Token：不要只用一个JWT。可以采用access_token(有效期2小时) +refresh_token(有效期7天) 的模式。前端在access_token过期后，用refresh_token调用特定接口换取新的access_token。refresh_token一次性使用，用后即废，并颁发新的refresh_token。
2. Token黑名单：对于主动退出登录或需要强制下线的场景，可以将未过期的Token加入黑名单（如存入Redis，并设置过期时间）。在每次验证Token时，除了检查JWT本身的有效性，还要查询黑名单。
3. 存储安全：前端应将Token存储在localStorage或Vuex/Pinia中，对于敏感操作（如支付），可以考虑使用短期会话Storage。

5.2 应对微信API的限流与稳定性

微信API有调用频率限制（如jscode2session每分钟有限额）。在用户量大的情况下，直接调用容易触发限流。

• 客户端限流：在前端，同一个用户短时间内不能重复点击登录按钮。
• 服务端缓存：在后端，对于同一个code的验证结果，可以缓存极短时间（如5秒），防止前端重复提交。session_key虽然不能长期缓存（因为它可能会变），但在一次登录会话周期内可以暂存。
• 降级与熔断：使用Resilience4j或Sentinel等组件，当调用微信API失败率升高时，快速失败或降级到备用方案（如短信验证码登录）。

5.3 多端账号合并与用户迁移

随着业务发展，可能会遇到历史用户数据迁移或账号合并的需求。

• 通过UnionID合并：这是最理想的情况。在用户授权后，如果发现新的unionid能关联到多个仅由openid标识的老账号，可以设计一个合并流程，将老账号的数据（订单、收藏等）归并到以unionid为主标识的账号下。
• 手机号绑定合并：提供手机号绑定功能。当用户绑定手机号后，如果系统内已存在相同手机号的账号，可以提示用户是否合并。
• 手动客服合并：对于复杂情况，提供后台人工合并账号的功能。操作时需要非常谨慎，做好数据备份和操作日志。

5.4 监控、日志与排查

一个健壮的登录系统离不开可观测性。

• 关键日志点：记录每次登录请求的平台、openid前几位、unionid、IP、时间和结果（成功/失败及原因）。但切勿记录完整的code、session_key或AppSecret。
• 监控指标：监控登录接口的QPS、成功率、平均耗时。监控微信API调用的失败率。
• 常见问题排查清单：
  • 前端code无效：检查code是否已使用过（一次性）或已过期（5分钟）。检查小程序/开放平台AppID配置是否正确。
  • 后端解密失败：确认前端传递的encryptedData、iv和session_key是否对应。session_key可能会因为用户重新登录微信而失效。
  • 获取不到unionid：检查微信开放平台账号是否已正确绑定小程序/公众号。用户是否关注了关联的公众号（某些条件下必需）？在微信开放平台查看“绑定”状态。
  • H5登录回调页面白屏或报错：检查授权回调域名配置是否精确（不能带http://或路径），检查回调页面代码是否能正确处理code和state参数，并调用后端接口。

登录功能是产品的门户，其稳定性和用户体验至关重要。从uni-app前端的平台适配，到Spring Boot后端的安全校验和业务逻辑，再到MyBatis Plus的数据层操作，每一个环节都需要仔细打磨。这套方案经过多个项目的验证，能够支撑起百万级用户的登录需求。在实际开发中，还需要结合具体的业务场景，在用户协议、隐私政策提示等方面做好合规工作。