17370845950

必须用后端发起HTTPS请求换取openid，传入appid、secret和前端获取的code，5分钟内有效；微信返回JSON格式，推荐cURL并设置超时和SSL验证，错误通过errcode判断，openid不可直接作长期用户ID，需映射业务表并注意session_key安全。

PHP 调用微信接口用 code 换取 openid 的正确姿势

不能直接靠前端传来的 code 就调微信接口——必须用后端发起 HTTPS 请求，且必须带上小程序的 appid、secret 和用户登录时前端获取的 code。微信校验的是服务端身份，不是前端请求来源。

• code 是一次性临时凭证，5 分钟内有效，用完即失效
• 必须用服务端发起请求，前端 JS 直接调 https://api.weixin.qq.com/sns/jscode2session 会跨域失败，且暴露 secret
• 微信返回是 JSON，不是 HTML，别用 file_get_contents() 不加 header 就硬读（可能被重定向或返回空）
• 推荐用 cURL，显式设置 Content-Type: application/json 和 timeout，避免超时卡住

PHP cURL 请求示例与关键参数说明

下面是最简可用的代码片段，重点在参数拼接和错误处理：

function getOpenidByCode($appid, $secret, $js_code) {
    $url = 'https://api.weixin.qq.com/sns/jscode2session?' .
           'appid=' . urlencode($appid) .
           '&secret=' . urlencode($secret) .
           '&js_code=' . urlencode($js_code) .
           '&grant_type=authorization_code';

    $ch = curl_init();
    curl_setopt($ch, CURLOPT_URL, $url);
    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
    curl_setopt($ch, CURLOPT_TIMEOUT, 10);
    curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false); // 生产环境建议开启证书验证
    $response = curl_exec($ch);
    curl_close($ch);

    return json_decode($response, true);
}

// 使用示例：
$result = getOpenidByCode('wx1234567890abcdef', 'your_secret_here', $_POST['code']);
if (isset($result['openid'])) {
    echo $result['openid'];
} else {
    error_log('WeChat openid fail: ' . json_encode($result));
}

• grant_type=authorization_code 是固定值，漏掉会返回 {"errcode":40029,"errmsg":"invalid code"}
• urlencode() 必须对 $appid、$secret、$js_code 分别编码，否则含特殊字符（如 +）的 code 会导致签名失败
• CURLOPT_SSL_VERIFYPEER 在测试环境可关，但上线前务必设为 true 并配好 C

  

  A 证书，否则有中间人风险

常见错误响应及对应排查点

微信不返回 HTTP 错误码，而是统一 200 + JSON body，所有异常都在 errcode 字段里：

• {"errcode":40029,"errmsg":"invalid code"}：最常见——code 已过期 / 已使用过 / 前端传错字段名（比如传了 res.code 却没取值）
• {"errcode":40125,"errmsg":"invalid appid"}：appid 和当前小程序不匹配，或填成了公众号的 appid
• {"errcode":40126,"errmsg":"invalid secret"}：secret 复制错了（注意有没有前后空格），或在微信公众平台重置过但没更新代码
• {"errcode":45011,"errmsg":"reach max api daily limit"}：该 appid 的每日调用量超限（免费额度约 10 万次/日，但新账号初始较低）

换出来的 openid 能直接当用户 ID 吗？

不能直接当唯一用户标识长期存储——它只对当前小程序有效，且同一用户在不同小程序中 openid 不同。如果后续要支持多端（公众号 + 小程序 + APP），得用 unionid。

• 只有用户关注过该主体下的公众号，或使用过该主体下其他已绑定开放平台的小程序，才会返回 unionid
• 若需 unionid，确保小程序和公众号同属一个微信开放平台账号，并在后台完成绑定
• 返回中没有 unionid 是正常现象，不代表出错，别因此反复重试
• 生产环境建议把 openid 和业务用户表做映射，而不是裸存；同时记录 session_key（如有敏感解密需求），但它 2 小时过期，不可持久化

真正麻烦的是 session_key 的时效性与安全边界——它不能传给前端，不能写进 cookie，连日志里都不能明文打。这些细节比“怎么换”更决定系统是否扛得住真实流量。