1. 项目概述为什么需要自己动手实现微信扫码登录在开发一个需要用户登录的Web应用或桌面应用时直接让用户注册账号密码已经越来越不是首选方案了。用户懒得记新密码开发者也得操心密码存储的安全问题。这时候第三方登录特别是微信扫码登录就成了一个非常自然的选择。它几乎成了国内互联网应用的标配用户掏出手机扫一下就能完成身份认证体验流畅安全性也相对更高。你可能用过一些现成的SDK或者云服务商提供的“一键集成”方案几分钟就能跑通。但作为一个有追求的开发者尤其是使用C#进行后端或桌面应用开发的同行仅仅会调用封装好的接口是远远不够的。理解其背后的OAuth2.0授权流程、处理各种网络异常、设计合理的本地会话管理这些才是真正体现技术深度和解决问题能力的地方。自己动手实现一遍不仅能让你在面试或项目复盘时更有底气更重要的是当现成方案出现诡异Bug或者无法满足定制化需求时你才有能力去排查和解决。这个项目就是带你从零开始用C#语言完整地走一遍微信开放平台的扫码登录流程。我们会从申请应用、配置参数开始一步步解析前端如何生成二维码、后端如何与微信服务器“握手”、最终如何安全地建立用户会话。过程中遇到的每一个坑、每一个参数的选择我都会结合自己的实战经验告诉你为什么这么做以及有没有更好的替代方案。2. 核心流程与原理拆解微信扫码登录的本质是OAuth2.0授权码模式的一个具体应用。为了让你更直观地理解我们可以把它想象成一次“三方会谈”你的应用我们、用户、微信官方。我们的目标是让微信官方告诉我们“这个用户是谁”但前提是必须得到用户的亲自同意。2.1 OAuth2.0在微信扫码登录中的映射整个流程可以分解为以下几个核心步骤我画了一个简单的时序图在脑子里现在用文字给你描述清楚前端准备会议室生成二维码用户打开你的登录页面你的前端需要向微信开放平台请求一个临时的“会议室号”在OAuth里叫authorization_code的获取凭证微信里是qrconnect接口返回的二维码URL。这个二维码里编码了一个特殊的链接链接里包含了你的应用ID(appid)、一个你指定的回调地址(redirect_uri)、以及一个你生成的随机状态码(state)用于防CSRF攻击。用户扫码并授权用户动作用户用微信扫描这个二维码手机会跳转到微信的授权页面。页面会显示你的应用名称、请求获取哪些信息比如昵称、头像。用户点击“同意”后微信就拿到了用户的授权。微信引导用户回你的地盘回调微信服务器会带着一个临时的“门票”code和之前你给的state跳转回你第一步提供的redirect_uri。注意这个跳转是在用户的手机浏览器里发生的。后端用“门票”换“身份证明”交换令牌你的应用后端C#服务端监听到了回调请求拿到了code。然后后端需要拿着这个code、你的appid和appsecret应用密钥非常重要绝不能泄露给前端去微信服务器交换真正的“身份证明”access_token访问令牌和openid用户在你这的唯一标识。用“身份证明”获取用户信息拿到access_token和openid后你的后端就可以调用微信的用户信息接口获取用户的昵称、头像等基本信息前提是用户授权了。建立本地会话最后你的后端根据获取到的openid在你自己的数据库里查询或创建对应的用户记录生成一个你自己系统的登录凭证例如Session或JWT Token返回给前端。至此扫码登录完成。注意appsecret是整个流程安全性的基石它必须保存在你的服务器端任何情况下都不应该出现在前端代码、客户端配置或日志文件中。泄露它意味着别人可以冒充你的应用。2.2 关键组件与角色理解了这个流程我们再来看看项目中会涉及到的几个关键部分微信开放平台你需要去注册账号、创建网站应用或移动应用以获取appid和appsecret。这是流程的起点和信任源头。你的应用后端C#这是项目的核心。它需要提供生成二维码参数的接口、处理微信回调的接口、与微信服务器通信交换令牌和获取用户信息的逻辑以及管理本地用户会话。你的应用前端负责展示二维码并监听登录状态。通常前端在展示二维码后会启动一个轮询Polling或使用WebSocket不断询问后端“用户扫了吗登录成功了吗”用户与微信客户端用户提供授权动作微信客户端App是授权发生的场所。3. 开发前的准备工作在写第一行代码之前我们必须把“粮草”备好。这一步没做好后面全是坑。3.1 微信开放平台应用创建与配置注册与认证访问微信开放平台用企业或个体工商户资质注册并完成开发者认证。个人账号目前无法创建网站应用来获取qrconnect能力。创建网站应用在开放平台后台找到“网站应用”板块点击创建。你需要填写应用名称、简介、官网地址等。获取关键信息应用创建成功后在详情页你可以找到AppID和AppSecret。把它们妥善保存特别是AppSecret点击显示后最好直接复制到你的服务器配置文件中。配置授权回调域这是至关重要的一步在应用详情页找到“开发信息”或“授权回调域”设置。你需要在这里填写你的网站后端域名例如api.yourdomain.com不要带http://或https://也不要带路径。微信在回调时只会验证域名是否匹配。如果你在本地开发可以配置为localhost但注意微信要求回调地址是80或443端口本地开发可能需要使用localhost:端口号部分情况不支持建议用内网穿透工具将本地端口映射到一个公网域名进行测试。3.2 C# 后端项目环境搭建这里我以主流的ASP.NET Core Web API项目为例因为它跨平台、高性能是现代C# Web开发的首选。# 使用.NET CLI创建一个新的Web API项目 dotnet new webapi -n WeChatLoginDemo cd WeChatLoginDemo接下来我们需要安装几个必要的NuGet包Microsoft.AspNetCore.Authentication.JwtBearer(可选)如果你打算用JWT来管理本地会话。Newtonsoft.Json或System.Text.Json用于处理JSON数据。虽然.NET Core内置了System.Text.Json但很多第三方库的示例仍用Newtonsoft.Json根据喜好选择。我这里用内置的。QRCoder(可选)一个强大的C#二维码生成库。如果你不想依赖前端生成二维码可以在后端直接生成二维码图片返回给前端。你可以在项目目录下通过命令安装或在Visual Studio的NuGet包管理器中搜索安装。dotnet add package QRCoder3.3 核心配置管理永远不要将AppSecret等敏感信息硬编码在代码里。我们使用ASP.NET Core的配置系统。在appsettings.json或更好的appsettings.Development.json中添加微信配置{ WeChat: { AppId: 你的AppId, AppSecret: 你的AppSecret, RedirectUri: https://api.yourdomain.com/api/auth/wechat-callback, // 你的回调接口地址 Scope: snsapi_login // 扫码登录固定用这个 } }然后创建一个对应的配置类WeChatOptions.csnamespace WeChatLoginDemo.Models { public class WeChatOptions { public string AppId { get; set; } public string AppSecret { get; set; } public string RedirectUri { get; set; } public string Scope { get; set; } snsapi_login; } }在Program.cs中将其注入到依赖注入容器builder.Services.ConfigureWeChatOptions(builder.Configuration.GetSection(WeChat));这样我们就可以在控制器或服务中通过IOptionsWeChatOptions来安全地访问这些配置了。4. 核心环节分步实现准备工作就绪现在我们开始动手编码。我会把每个环节拆开讲清楚代码和背后的逻辑。4.1 构建前端二维码生成参数接口前端需要知道二维码的内容是什么。这个内容就是一个指向微信授权页面的URL。我们后端提供一个接口来生成这个URL所需的参数。首先在Controllers文件夹下创建一个AuthController.cs。using Microsoft.AspNetCore.Mvc; using Microsoft.Extensions.Options; using WeChatLoginDemo.Models; using System.Web; // 用于UrlEncode namespace WeChatLoginDemo.Controllers { [ApiController] [Route(api/[controller])] public class AuthController : ControllerBase { private readonly WeChatOptions _weChatOptions; // 用于存储临时状态码生产环境请用分布式缓存如Redis private static readonly Dictionarystring, bool _stateStore new(); public AuthController(IOptionsWeChatOptions weChatOptions) { _weChatOptions weChatOptions.Value; } [HttpGet(get-login-params)] public IActionResult GetWeChatLoginParams() { // 1. 生成一个随机的state参数防止CSRF攻击 var state Guid.NewGuid().ToString(N); _stateStore[state] true; // 存储等待回调时验证 // 2. 对回调地址进行编码微信要求 var redirectUri HttpUtility.UrlEncode(_weChatOptions.RedirectUri, System.Text.Encoding.UTF8); // 3. 拼接微信二维码登录的URL // 文档地址https://developers.weixin.qq.com/doc/oplatform/Website_App/WeChat_Login/Wechat_Login.html var weChatAuthUrl $https://open.weixin.qq.com/connect/qrconnect? $appid{_weChatOptions.AppId} $redirect_uri{redirectUri} $response_typecode $scope{_weChatOptions.Scope} $state{state}#wechat_redirect; // 4. 返回给前端 return Ok(new { appId _weChatOptions.AppId, state state, authUrl weChatAuthUrl // 前端可以用这个URL生成二维码 }); } } }关键点解析State参数这是一个不可预测的随机字符串由服务器生成并短暂存储示例用了内存字典生产环境必须用分布式缓存如Redis并设置过期时间比如5分钟。在后续的回调中微信会原样返回这个state服务器需要验证其有效性确保回调请求来源于你之前发出的授权请求防止跨站请求伪造。Redirect_Uri编码必须使用UTF-8进行URL编码否则包含特殊字符的回调地址可能导致微信跳转失败。#wechat_redirect这个片段fragment是微信要求的固定格式必须加上。前端拿到authUrl后可以使用任何二维码生成库如qrcode.js将其生成二维码图片展示给用户。4.2 处理微信授权回调用户扫码授权后微信会跳转到我们配置的RedirectUri。我们需要一个接口来处理这个回调。在AuthController中增加一个新的接口[HttpGet(wechat-callback)] public async TaskIActionResult WeChatCallback([FromQuery] string code, [FromQuery] string state) { // 1. 验证state参数防止CSRF if (string.IsNullOrEmpty(state) || !_stateStore.ContainsKey(state)) { return BadRequest(Invalid state parameter.); } _stateStore.Remove(state); // 使用一次后立即移除 // 2. 检查授权码 if (string.IsNullOrEmpty(code)) { // 用户可能取消了授权 return Redirect(https://yourfrontend.com/login?errorauth_denied); } // 3. 用code换取access_token和openid var tokenResult await ExchangeCodeForTokenAsync(code); if (!tokenResult.IsSuccess) { // 交换令牌失败记录日志并重定向到错误页 _logger.LogError($Failed to exchange code for token: {tokenResult.ErrorMessage}); return Redirect(https://yourfrontend.com/login?errortoken_exchange_failed); } // 4. 获取用户信息如果需要 var userInfo await GetUserInfoAsync(tokenResult.AccessToken, tokenResult.OpenId); // 5. 处理本地用户逻辑查找或创建用户 var localUser await FindOrCreateLocalUserAsync(tokenResult.OpenId, userInfo); // 6. 创建本地会话例如生成JWT var jwtToken GenerateJwtTokenForUser(localUser); // 7. 重定向回前端并携带登录成功令牌 // 注意这里不能直接返回JSON给浏览器因为这是微信的跳转请求。 // 通常有两种方式1. 重定向到前端页面并将token放在URL片段(#)或查询参数中。2. 设置Cookie需考虑跨域。 // 这里采用重定向到前端特定页面由前端从URL获取token。 var frontendRedirectUrl $https://yourfrontend.com/login-success#token{jwtToken}; return Redirect(frontendRedirectUrl); }这个接口是GET请求因为微信是通过浏览器302跳转过来的。参数code和state由微信以查询字符串的形式附加在回调URL后面。4.3 实现令牌交换与用户信息获取上面代码中的ExchangeCodeForTokenAsync和GetUserInfoAsync是两个核心的HTTP服务调用方法。我们需要实现它们。首先创建一个服务类WeChatAuthService.cs来封装这些与微信服务器的交互using System.Text.Json; using Microsoft.Extensions.Options; namespace WeChatLoginDemo.Services { public class WeChatAuthService { private readonly WeChatOptions _weChatOptions; private readonly HttpClient _httpClient; private readonly ILoggerWeChatAuthService _logger; public WeChatAuthService(IOptionsWeChatOptions weChatOptions, IHttpClientFactory httpClientFactory, ILoggerWeChatAuthService logger) { _weChatOptions weChatOptions.Value; _httpClient httpClientFactory.CreateClient(); _logger logger; } public async TaskWeChatTokenResponse ExchangeCodeForTokenAsync(string code) { var requestUrl https://api.weixin.qq.com/sns/oauth2/access_token? $appid{_weChatOptions.AppId} $secret{_weChatOptions.AppSecret} $code{code} $grant_typeauthorization_code; try { var response await _httpClient.GetAsync(requestUrl); response.EnsureSuccessStatusCode(); var jsonString await response.Content.ReadAsStringAsync(); var tokenResult JsonSerializer.DeserializeWeChatTokenResponse(jsonString); if (tokenResult null || !string.IsNullOrEmpty(tokenResult.ErrCode)) { _logger.LogError($WeChat token exchange failed. Response: {jsonString}); return WeChatTokenResponse.Failed(tokenResult?.ErrMsg ?? Unknown error); } return tokenResult; } catch (HttpRequestException ex) { _logger.LogError(ex, Network error during token exchange.); return WeChatTokenResponse.Failed($Network error: {ex.Message}); } catch (JsonException ex) { _logger.LogError(ex, Failed to parse WeChat token response.); return WeChatTokenResponse.Failed(Invalid response from WeChat.); } } public async TaskWeChatUserInfo GetUserInfoAsync(string accessToken, string openId) { var requestUrl $https://api.weixin.qq.com/sns/userinfo? $access_token{accessToken} $openid{openId}; var response await _httpClient.GetAsync(requestUrl); response.EnsureSuccessStatusCode(); var jsonString await response.Content.ReadAsStringAsync(); var userInfo JsonSerializer.DeserializeWeChatUserInfo(jsonString); // 注意微信返回的用户信息可能包含错误码需要判断 if (userInfo null || !string.IsNullOrEmpty(userInfo.ErrCode)) { _logger.LogWarning($Failed to get user info. Response: {jsonString}); // 即使获取用户信息失败只要有openid也能完成登录。这里可以返回一个空信息或默认信息。 return new WeChatUserInfo { OpenId openId }; } return userInfo; } } // 定义响应模型 public class WeChatTokenResponse { [JsonPropertyName(access_token)] // System.Text.Json 特性 public string AccessToken { get; set; } [JsonPropertyName(expires_in)] public int ExpiresIn { get; set; } [JsonPropertyName(refresh_token)] public string RefreshToken { get; set; } [JsonPropertyName(openid)] public string OpenId { get; set; } [JsonPropertyName(scope)] public string Scope { get; set; } [JsonPropertyName(unionid)] public string UnionId { get; set; } // 如果应用在开放平台绑定会有unionid [JsonPropertyName(errcode)] public string ErrCode { get; set; } [JsonPropertyName(errmsg)] public string ErrMsg { get; set; } public bool IsSuccess string.IsNullOrEmpty(ErrCode); public static WeChatTokenResponse Failed(string message) new WeChatTokenResponse { ErrMsg message }; } public class WeChatUserInfo { [JsonPropertyName(openid)] public string OpenId { get; set; } [JsonPropertyName(nickname)] public string Nickname { get; set; } [JsonPropertyName(sex)] public int Sex { get; set; } [JsonPropertyName(province)] public string Province { get; set; } [JsonPropertyName(city)] public string City { get; set; } [JsonPropertyName(country)] public string Country { get; set; } [JsonPropertyName(headimgurl)] public string HeadImageUrl { get; set; } [JsonPropertyName(privilege)] public Liststring Privilege { get; set; } [JsonPropertyName(unionid)] public string UnionId { get; set; } [JsonPropertyName(errcode)] public string ErrCode { get; set; } [JsonPropertyName(errmsg)] public string ErrMsg { get; set; } } }关键点解析使用IHttpClientFactory创建HttpClient实例的最佳实践是通过IHttpClientFactory它能管理连接池和生命周期避免Socket耗尽问题。记得在Program.cs中注册builder.Services.AddHttpClient();。错误处理微信接口返回的JSON中如果出错会包含errcode和errmsg字段。我们必须检查这些字段而不是仅仅依赖HTTP状态码。response.EnsureSuccessStatusCode()只保证HTTP请求成功2xx不保证业务逻辑成功。UnionId如果你在微信开放平台绑定了多个应用网站、小程序、App并且希望用户在这些应用间身份互通那么unionid就是关键。它是用户在开放平台下的唯一标识。openid只是针对单个应用的唯一标识。用户信息非必得获取用户信息(/sns/userinfo)需要用户授权scope包含snsapi_userinfo我们用的snsapi_login默认包含。即使用户授权了接口也可能因为网络或权限问题失败。我们的系统设计应该能容忍只拿到openid的情况至少可以完成登录用户信息可以后续补充。4.4 本地用户会话管理拿到微信的openid或unionid后我们需要将其映射到自己系统的用户。// 在AuthController或一个独立的UserService中 private async TaskLocalUser FindOrCreateLocalUserAsync(string weChatOpenId, WeChatUserInfo weChatInfo) { // 1. 根据openid查询本地数据库 var user await _dbContext.Users.FirstOrDefaultAsync(u u.WeChatOpenId weChatOpenId); if (user null) { // 2. 用户不存在创建新用户 user new LocalUser { WeChatOpenId weChatOpenId, UnionId weChatInfo?.UnionId, NickName weChatInfo?.Nickname ?? 微信用户, AvatarUrl weChatInfo?.HeadImageUrl, CreatedAt DateTime.UtcNow }; _dbContext.Users.Add(user); await _dbContext.SaveChangesAsync(); } else { // 3. 用户已存在可选更新用户信息如昵称、头像可能变更 if (weChatInfo ! null !string.IsNullOrEmpty(weChatInfo.Nickname)) { user.NickName weChatInfo.Nickname; user.AvatarUrl weChatInfo.HeadImageUrl; await _dbContext.SaveChangesAsync(); } } return user; } private string GenerateJwtTokenForUser(LocalUser user) { // 使用如System.IdentityModel.Tokens.Jwt库来生成JWT var securityKey new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_jwtSettings.SecretKey)); var credentials new SigningCredentials(securityKey, SecurityAlgorithms.HmacSha256); var claims new[] { new Claim(JwtRegisteredClaimNames.Sub, user.Id.ToString()), new Claim(JwtRegisteredClaimNames.UniqueName, user.WeChatOpenId), new Claim(nickname, user.NickName) // 可以添加更多自定义声明 }; var token new JwtSecurityToken( issuer: _jwtSettings.Issuer, audience: _jwtSettings.Audience, claims: claims, expires: DateTime.UtcNow.AddHours(_jwtSettings.ExpireHours), signingCredentials: credentials ); return new JwtSecurityTokenHandler().WriteToken(token); }关键点解析用户关联首次登录的用户根据openid创建一条新记录。后续登录则根据openid找到对应用户。使用unionid可以实现跨应用统一账号。信息更新用户可能修改微信昵称或头像每次登录时可以选择更新本地存储的信息保持同步。会话方式生成JWT是一种无状态、可扩展的方案。你也可以使用传统的服务器端Session依赖分布式缓存。JWT的优点是服务器无需存储状态Token本身包含了用户信息和过期时间。缺点是Token一旦签发在有效期内无法主动废止除非使用黑名单机制。5. 前端协作与状态轮询后端接口准备好了前端需要配合。一个典型的流程是用户进入登录页前端调用/api/auth/get-login-params接口获取authUrl和state。前端使用authUrl生成二维码例如使用qrcode.js库并展示给用户。同时前端启动一个定时器例如每2秒一次轮询询问后端一个特定的接口比如/api/auth/login-status?statexxx检查这个state对应的登录是否已完成。用户扫码授权后微信跳转到后端回调接口后端处理完成后将state标记为“已登录”并关联上生成的本地Token。前端轮询接口发现状态变为“成功”并获取到Token则跳转到应用首页并将Token存储起来如localStorage或Cookie用于后续API请求的认证。后端需要提供这个状态查询接口[HttpGet(login-status)] public IActionResult CheckLoginStatus([FromQuery] string state) { // 从缓存或数据库中查询该state的状态 // 例如在回调成功的逻辑里将 state - token 的映射存入Redis并设置5分钟过期 // var token _cache.GetString($wechat:login:{state}); var token _tempTokenStore.ContainsKey(state) ? _tempTokenStore[state] : null; if (string.IsNullOrEmpty(token)) { return Ok(new { status pending }); // 或 waiting } else { // 查询到token说明登录成功返回token并清除临时存储 _tempTokenStore.Remove(state); return Ok(new { status success, token token }); } }在WeChatCallback方法成功生成JWT后需要将这个Token和state关联起来存储到临时缓存中供CheckLoginStatus接口查询。6. 安全加固与生产环境考量实现基本功能后我们必须考虑安全性和生产环境的稳定性。6.1 安全风险与应对CSRF攻击我们使用state参数已经有效防御。务必保证state的随机性和不可预测性用强随机数生成器并在使用后立即失效。AppSecret泄露这是最高风险。除了不将其暴露给客户端还应将AppSecret存储在环境变量或云服务商的安全密钥管理服务如Azure Key Vault, AWS Secrets Manager中而不是代码或配置文件中。定期在微信开放平台重置AppSecret。服务器访问日志中要过滤掉包含AppSecret的请求记录。回调地址劫持确保redirect_uri严格匹配在开放平台配置的域名并且使用HTTPS。微信会进行校验但你自己也要防止内部配置错误。Token泄露access_token有一定有效期但泄露仍可能导致用户信息被非法获取。确保与微信通信的服务器到服务器链路是安全的使用HTTPS。本地生成的JWT也应设置合理的较短有效期并使用强密钥。6.2 性能与可靠性优化缓存AccessToken微信的access_token在获取用户信息时使用它有7200秒2小时的有效期且调用频率有限制。不应该每次用户登录都去获取一个新的。应该全局缓存一个access_token并在快过期时刷新。注意这里讨论的是应用级的access_token调用其他微信API如模板消息与OAuth的access_token用于获取用户信息是两回事。OAuth的access_token是针对单个用户的不应全局缓存。使用Redis管理状态示例中用的内存字典_stateStore和_tempTokenStore在单服务器下可以但在多实例部署或重启后会丢失。生产环境必须使用Redis等分布式缓存来存储state和临时的state-token映射并设置自动过期如5-10分钟。异步与非阻塞所有网络I/O操作如调用微信API、数据库查询都应使用async/await避免阻塞线程池线程提高并发能力。重试与降级调用微信API可能因网络抖动失败。对于ExchangeCodeForTokenAsync这样的关键操作可以考虑加入简单的重试机制如Polly库。如果获取用户信息失败应有降级方案允许用户仅凭openid登录。6.3 日志与监控详细记录关键步骤在ExchangeCodeForTokenAsync、WeChatCallback等方法的开始、成功、失败处记录日志包含state、openid脱敏后等信息便于问题追踪。监控错误率监控调用微信API的失败率、回调接口的异常响应设置告警。审计日志记录用户的登录行为时间、IP、openid满足安全审计要求。7. 常见问题排查与调试技巧在实际开发中你肯定会遇到各种问题。这里列举一些常见的坑和排查思路。7.1 二维码显示后扫码没反应或提示“该链接无法访问”检查回调域名配置这是最常见的原因。登录微信开放平台检查“授权回调域”配置是否准确无误是否包含了协议头不能有是否有多余的路径。本地开发时localhost可能不被支持或受限尝试使用内网穿透工具如ngrok, localtunnel将本地的https://localhost:端口号映射到一个公网域名并将该域名配置到回调域中。检查redirect_uri参数确保你生成的授权URL中的redirect_uri参数值与你配置的回调域名下的一个具体地址完全一致包括http/https和端口并且已经进行了正确的URL编码。Scope权限不足确保scope参数设置为snsapi_login。7.2 回调接口收到code后兑换access_token失败错误码40029code无效或已被使用。每个code只能使用一次且有效期很短约5分钟。请检查是否重复请求了回调接口或者前端轮询逻辑有误导致重复提交。错误码40163code已被使用。同上。检查AppSecret确认代码中使用的AppSecret与开放平台显示的一致且没有多余空格。切记AppSecret必须从服务器环境变量或安全存储中读取不要硬编码。网络问题检查你的服务器是否能正常访问api.weixin.qq.com。有些云服务器环境可能需要配置网络规则。7.3 获取用户信息返回48001错误api unauthorized授权Scope问题确保第一步生成授权URL时scope参数是snsapi_login它隐式包含了获取用户信息的权限。如果只用了snsapi_base则只能获取openid无法获取用户信息。用户未授权虽然扫码登录页面默认会请求用户信息授权但用户有可能手动取消勾选。你的代码需要能处理这种情况即GetUserInfoAsync可能失败但登录流程基于openid仍应继续。7.4 前端轮询一直处于“pending”状态State不匹配检查前端轮询时传递的state参数与最初生成二维码时后端返回的state是否一致。前端需要妥善保存这个state。后端状态存储问题检查后端在WeChatCallback成功后是否将state和token的映射关系正确存储到了缓存如Redis中。检查缓存的过期时间是否设置得太短。跨域问题如果前端和后端域名不同确保后端已正确配置CORS跨域资源共享允许前端域名进行轮询请求。7.5 在本地开发环境调试本地调试是痛点。我的建议是使用内网穿透这是最接近生产环境的方式。用ngrok或localtunnel将你本地的https://localhost:7071举例暴露为一个公网地址如https://abc123.ngrok.io。配置微信回调域将abc123.ngrok.io配置到微信开放平台的应用回调域中。修改配置将后端的WeChat:RedirectUri配置为https://abc123.ngrok.io/api/auth/wechat-callback。注意免费的内网穿透服务域名可能会变每次启动都需要去微信后台修改很麻烦。可以考虑购买一个固定域名的内网穿透服务或者使用一些开发平台提供的测试域名。整个流程走下来你会发现实现一个健壮的微信扫码登录并不只是调用几个API那么简单。从流程理解、安全设计、异常处理到生产部署每一个环节都需要仔细考量。自己动手实现一遍你对OAuth2.0和第三方登录的理解会深刻很多。下次再遇到任何登录相关的问题你都能从容地抓住关键点进行排查。