微信小程序与后端集成开发指南：登录流程、Token安全与拦截器实现

一、需求分析与技术选型

在开发家属端小程序时，登录模块是整个系统的安全入口。根据原型设计要求，所有需要用户身份的页面（如房型查询、订单管理）必须实现登录状态校验。典型场景包括：用户点击”我的订单”时触发未登录跳转，或直接点击微信登录按钮触发授权流程。

技术选型方面，推荐采用OAuth2.0授权框架结合JWT（JSON Web Token）实现无状态认证。相较于传统Session机制，JWT具有以下优势：

1. 跨域支持：天然适配小程序多域名请求场景
2. 性能优化：减少数据库查询，提升API响应速度
3. 扩展性：支持分布式系统架构

二、开发环境搭建指南

1. 小程序基础环境配置

1. 测试号申请：通过官方平台创建测试账号，获取AppID和AppSecret（需妥善保管）
2. 开发工具安装：建议选择最新稳定版，支持ES6+语法和真机调试
3. 项目导入：通过”导入项目”功能选择代码目录，注意勾选”不校验合法域名”选项（开发阶段使用）

2. 关键配置项说明

• 服务器域名配置：在开发设置中添加合法域名（需ICP备案）
• WebSocket配置：如需实时通信功能需单独配置
• 本地代理设置：通过Charles等工具实现请求拦截调试

3. 后端环境准备

推荐采用Spring Boot 2.7+版本，核心依赖包括：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.5</version>
</dependency>

三、核心登录流程实现

1. 前端登录流程

// 微信登录按钮事件处理
wx.login({
  success(res) {
    if (res.code) {
      // 获取用户手机号（需用户主动触发）
      wx.checkSession({
        success() {
          // 调用后端登录接口
          wx.request({
            url: 'https://api.example.com/auth/login',
            method: 'POST',
            data: {
              code: res.code,
              encryptedData: encryptedData,
              iv: iv
            },
            success(res) {
              // 存储token
              wx.setStorageSync('token', res.data.token)
            }
          })
        }
      })
    }
  }
})

2. 后端认证逻辑

@RestController
@RequestMapping("/auth")
public class AuthController {
    @Autowired
    private JwtTokenUtil tokenUtil;
    @PostMapping("/login")
    public ResponseEntity<?> login(@RequestBody LoginRequest request) {
        // 1. 调用微信接口获取openid
        String openid = wechatService.getOpenId(request.getCode());
        // 2. 校验用户信息（可扩展手机号绑定校验）
        User user = userService.findByOpenId(openid);
        // 3. 生成JWT token
        String token = tokenUtil.generateToken(user);
        return ResponseEntity.ok(new AuthResponse(token));
    }
}

四、Token安全机制实现

1. JWT配置要点

@Configuration
public class JwtConfig {
    @Value("${jwt.secret}")
    private String secret;
    @Value("${jwt.expiration}")
    private Long expiration;
    @Bean
    public JwtTokenUtil tokenUtil() {
        return new JwtTokenUtil(secret, expiration);
    }
}

2. 签名算法选择

推荐使用HS256算法，需注意：

• 密钥长度至少32位
• 定期更换密钥（可通过配置中心动态更新）
• 敏感操作（如支付）需结合其他验证机制

3. Token刷新策略

实现滑动过期机制：

public String refreshToken(String oldToken) {
    // 验证旧token有效性
    if (validateToken(oldToken)) {
        // 解析用户信息
        Claims claims = parseToken(oldToken);
        // 生成新token（有效期重置）
        return generateToken(claims.getSubject());
    }
    throw new TokenExpiredException();
}

五、全局拦截器实现方案

1. 认证拦截器

@Component
public class AuthInterceptor implements HandlerInterceptor {
    @Autowired
    private JwtTokenUtil tokenUtil;
    @Override
    public boolean preHandle(HttpServletRequest request, 
                           HttpServletResponse response, 
                           Object handler) {
        // 排除登录接口
        if (request.getRequestURI().contains("/auth/")) {
            return true;
        }
        // 获取token
        String token = request.getHeader("Authorization");
        try {
            if (StringUtils.isNotBlank(token) && tokenUtil.validateToken(token)) {
                // 续期处理（可选）
                return true;
            }
        } catch (Exception e) {
            response.setStatus(HttpStatus.UNAUTHORIZED.value());
            return false;
        }
        response.setStatus(HttpStatus.UNAUTHORIZED.value());
        return false;
    }
}

2. 拦截器注册配置

@Configuration
public class WebConfig implements WebMvcConfigurer {
    @Autowired
    private AuthInterceptor authInterceptor;
    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(authInterceptor)
                .addPathPatterns("/**")
                .excludePathPatterns(
                    "/auth/**",
                    "/error",
                    "/static/**"
                );
    }
}

六、安全增强方案

1. 请求签名验证：对关键接口实现请求参数签名校验
2. 频率限制：使用Redis实现接口调用频率控制
3. 数据脱敏：用户敏感信息返回时进行脱敏处理
4. HTTPS强制：生产环境必须启用全站HTTPS

七、常见问题解决方案

1. 跨域问题：通过CORS配置或Nginx代理解决
2. Token泄露：实现黑名单机制或短期有效token
3. 微信code过期：设置合理的重试机制
4. 多端登录冲突：通过deviceId区分不同设备

通过以上技术方案的实施，开发者可以构建一个安全可靠的微信小程序认证系统。实际开发中需根据具体业务需求调整安全策略，建议定期进行安全审计和渗透测试，确保系统持续符合安全标准。