公众号接入OAuth2？别慌！手把手带你玩转微信授权登录
家人们，谁懂啊！公众号开发第一步就卡在OAuth2上了？
哎哟喂,最近有好多小伙伴私信我，说在做公众号开发的时候，一碰到这个OAuth2就头大，感觉像看天书一样，完全不知道从哪儿下手，说实话，我刚开始接触的时候也是这种感受，心里直犯嘀咕：这玩意儿到底是啥？为啥非要搞这么复杂？今天咱们就掏心窝子地聊聊这个磨人的小妖精——公众号推OAuth2，保证让你听完之后有种“原来如此”的顿悟感！
什么是OAuth2？咱就是说，它到底解决了个啥问题？
你想啊,咱们的公众号要给用户提供个性化服务，总得知道对方是谁吧？但总不能让人家每次访问都输一遍账号密码，那多糟心啊！这时候，OAuth2就像是一个贴心的“门卫大爷”，他手里有一本“访客登记簿”，你只要在他那儿登个记，他给你发个“临时通行证”（也就是access_token），你就能在规定时间内自由进出，不用反复验证身份了，是不是感觉超级方便？
咱们的公众号做OAuth2授权，具体是咋回事儿呢？
来来来,我告诉你，微信的OAuth2授权其实分两种：静默授权和非静默授权，这俩有啥区别呢？打个比方：
- 静默授权就像你走进便利店，自动门“哗”一下开了，你啥都不用做就能进去，但只能看到基础商品（用户基本信息）；
- 非静默授权呢，就像是进高档会所，保安会拦住你，让你出示下证件（弹窗确认），确认之后你就能享受到VIP服务了（获取用户详细信息）。
我跟你讲,大家在开发的时候一定要搞清楚自己的需求，别一上来就猛搞非静默授权，用户那边弹窗弹多了，人家烦了就取关了，那可就得不偿失咯！
搭建流程怎么走？别急，听我慢慢道来~
你得有个认证过的服务号（订阅号可没这权限哦，别白费功夫啦），然后在后台配置好网页授权域名，咱们要引导用户点击一个链接，这个链接会带着我们的appid和回调地址，微信服务器在用户同意授权后，会跳转回我们的回调地址并且附上一个code参数。
拿到了code呢,你就得拿着它去微信的接口换取access_token和openid，这里我得提醒一下各位小伙伴，code的有效期只有5分钟，而且只能用一次，用完就作废！这玩意简直比我的健身卡还“一次性”呢，稍不留神就超时了，真是急死个人！
用代码咋实现？手把手教你写（不学会算我输）
我直接给你上干货吧,用Python + Flask写个最简单的示例，帮大家开开窍：
from flask import Flask, redirect, request, jsonify
import requests
app = Flask(__name__)
APPID = '你的AppID'
SECRET = '你的AppSecret'
REDIRECT_URI = 'https://你的域名/callback'
@app.route('/login')
def login():
# 1. 拼授权链接
auth_url = f'https://open.weixin.qq.com/connect/oauth2/authorize?appid={APPID}&redirect_uri={REDIRECT_URI}&response_type=code&scope=snsapi_userinfo&state=123#wechat_redirect'
return redirect(auth_url)
@app.route('/callback')
def callback():
code = request.args.get('code')
# 2. 换token
token_url = f'https://api.weixin.qq.com/sns/oauth2/access_token?appid={APPID}&secret={SECRET}&code={code}&grant_type=authorization_code'
res = requests.get(token_url).json()
access_token = res.get('access_token')
openid = res.get('openid')
# 3. 拉取用户信息
info_url = f'https://api.weixin.qq.com/sns/userinfo?access_token={access_token}&openid={openid}&lang=zh_CN'
user_info = requests.get(info_url).json()
return jsonify(user_info)
if __name__ == '__main__':
app.run(port=5000)
看到没？就是这么多事儿！是不是感觉也没那么复杂嘛～当然啦，真实开发场景中还要考虑token缓存、用户表设计、session管理这些问题，但核心的OAuth2流程就是这么简单直白，你只要跟着走一遍，心里就有底了。
老话重提：开发中最容易踩的几个坑，你可得留心！
哎呀,说到这个我可太有发言权了，当年我也是踩坑踩过来的，眼泪汪汪的～
第一个坑：redirect_uri必须URL编码
有些小伙伴直接把带参数的URL往里怼，结果直接报错，我还以为是自己的错，气死！一定要用urllib.parse.quote()编码一下，不然微信连机会都不给你。
第二个坑：access_token别乱存 这玩意儿有效期虽然长（7200秒），但也不是永久有效的，有些懒人直接把access_token写死在配置文件里，等过期了才发现，到时候用户全冒出来了，你却是“兵荒马乱”的状态，是不是特别狼狈？
第三个坑：scope选错
真心建议，如果只是展示头像昵称，用snsapi_base就够了，别老想去拿用户手机号和地址，那也得拿得到才行啊！snsapi_userinfo虽然信息全但要用户确认，容易流失体验，你得权衡好得失呀。
除了公众号网页，还有哪些场景也用OAuth2？
其实OAuth2不仅仅用在公众号上,像咱们平时登录网盘、第三方网站用微信或QQ扫码，本质上都是OAuth2在背后默默出力，可以说，它已经成了互联网生态里一个非常重要的“身份证认证系统”了，掌握了它，你不仅是公众号开发小能手，更能举一反三，理解很多第三方登录的原理，是不是感觉赚大发了？
好啦好啦，讲这么多了，你学会了吗？
公众号推OAuth2这事儿，并没有你想象中那么神秘，咱们就当它是一个“见面点头之交”的认证流程就好了，多敲两遍代码，多跑几遍流程，你会发现其实也就那么回事儿，如果你在开发的过程中碰到什么奇奇怪怪的报错，欢迎跟我聊聊，我绝对知无不言、言无不尽！
对了！如果你也对网络安全、编程开发感兴趣，或者在学习中遇到了什么难题，那咱们必须得加个QQ好好聊聊——学习网络安全可以加QQ：1645779946，一起交流，一起进步，你说吼不吼哇？期待你的到来，咱们下期见咯，拜拜啦您嘞！
