微信小程序开发者自己服务器获取到openid和session_key 后生成登录态。并且登录态的有效性判断

微信小程序中做用户登录与登录态维护的实现详解
让用户登录，标识用户和获取用户信息，以用户为核心提供服务，是大部分小程序都会做的事情。我们今天就来了解下在小程序中，如何做用户登录，以及如何去维护这个登录后的会话(Session)状态。下面来看看详细的介绍：

小程序的登陆流程
微信小程序的登陆涉及到的有三剑客有： 小程序客户端 微信服务器 自己的服务器

下面我们就来逐步分解一下这个流程图：

步骤一：在小程序客户端获取当前登陆微信用户的凭证（code)

|| 在小程序中登录的第一步，就是先获取登录凭证。我们可以使用wx.login()方法并得到一个登录凭证。我们可以在小程序的App构造主代码中发起登录凭证请求，也可以在其他任何Page页面代码中发起登录凭证请求，主要根据你小程序的实际需要。

前台js:
步骤2：将登录凭证发往你的服务端，并在你的服务端使用该凭证向微信服务器换取该微信用户的唯一标识(openid)和会话密钥(session_key)

||首先，我们使用wx.request()方法，请求我们自己实现的一个后台API，并将登录凭证(code)携带过去，例如在我们前面代码的基础上增加：

App({
 onLaunch: function() {
 wx.login({
  success: function(res) {
  var code = res.code;
  if (code) {
   console.log('获取用户登录凭证：' + code);
 
   // --------- 发送凭证 ------------------
   wx.request({
   url: 你的域名',
   data: { code: code }
   })
   // ------------------------------------
 
  } else {
   console.log('获取用户登录态失败：' + res.errMsg);
  }
  }
 });
 }
})

后台php：
||你的后台服务(/wx/onlogin)接着需要使用这个传递过来的登录凭证，去调用微信接口换取openid和session_key，接口地址格式如下所示：

<?php
//声明CODE，获取小程序传过来的CODE
$code = htmlspecialchars($_GET["js_code"]);
// var_dump($code);
//配置appid
$appid = "你的appid";
//配置appscret
$secret = "你的secret";
//api接口
$api = "https://api.weixin.qq.com/sns/jscode2session?appid={$appid}&secret={$secret}&js_code={$code}&grant_type=authorization_code";
//获取GET请求

//echo $api;

$result = file_get_contents($api);

echo json_encode($result);


//return json_encode($result);

||这段后台代码成功执行的话，就可以得到openid和session_key。这个信息就是当前微信账户在微信服务器那边的登录态了。

但是，为了安全方面的原因，请不要直接使用这些信息作为你小程序的用户标识和session标识回传到小程序客户端中去，我们应该在服务器端做一层自己的session，将这个微信账号登录态生成一个session id并维护在我们自己的session机制中，然后把这个session id派发到小程序客户端作为session标识来使用。
关于如何在服务器端做这个session机制，我们现在一般采用键值对存储工具来做，比如redis。我们为每个session生成一个唯一的字符串作为键（见下图，可通过生成随机数），然后可以将session_key和openid作为值，存入redis中，为了安全，存入的时候还应设置一个超时的时间。

步骤3：在客户端保存sessionid
开发Web应用的时候，在客户端（浏览器）中，我们通常将session id存放在cookie中，但是小程序没有cookie机制，所以不能采用cookie了，但是小程序有本地的storage，所以我们可以使用storage来保存sessionid，以供后续的后台API调用所使用。

在之后，调用那些需要登录后才有权限的访问的后台服务时，你可以将保存在storage中的sessionid取出并携带在请求中（可以放在header中携带，也可以放在querystring中，或是放在body中，根据你自己的需要来使用），传递到后台服务，后台代码中获取到该sessionid后，从redis中查找是否有该sessionid存在，存在的话，即确认该session是有效的，继续后续的代码执行，否则进行错误处理。 （这里的后台服务是指在自己服务器去调用的微信后台服务，也就是先请求自己服务器的服务，然后根据sessionid获取到openid和session_key后再调用微信服务器的服务，成功后由自己服务器返回给微信小程序。）

这是一个需要session验证的后台服务示例，我的sessionid是放在header中传递的，所以在这个示例中，是从请求的header中获取sessionid:

router.get('/wx/products/list', function (req, res, next) {
 let sessionid = req.header("sessionid")
 let sessionVal = redisStore.get(sessionid)
 
 if (sessionVal) {
 // 执行其他业务代码
 } else {
 // 执行错误处理
 }
})

会话密钥 session_key 有效性
开发者如果遇到因为 session_key 不正确而校验签名失败或解密失败，请关注下面几个与 session_key 有关的注意事项。

1，wx.login 调用时，用户的 session_key 可能会被更新而致使旧 session_key 失效（刷新机制存在最短周期，如果同一个用户短时间内多次调用 wx.login，并非每次调用都导致 session_key 刷新）。开发者应该在明确需要重新登录时才调用 wx.login，及时通过 auth.code2Session 接口更新服务器存储的 session_key。
2，微信不会把 session_key 的有效期告知开发者。我们会根据用户使用小程序的行为对 session_key 进行续期。用户越频繁使用小程序，session_key 有效期越长。
3，开发者在 session_key 失效时，可以通过重新执行登录流程获取有效的 session_key。使用接口 wx.checkSession可以校验 session_key 是否有效，从而避免小程序反复执行登录流程。
4，当开发者在实现自定义登录态时，可以考虑以 session_key 有效期作为自身登录态有效期，也可以实现自定义的时效性策略。

转载https://blog.csdn.net/qq_21405949/article/details/82383437