微信开放平台配置操作手册

已知项目值与使用原则

这些值可以帮助定位账号和环境，但不能替代微信后台现场校验。

固定共享 HTTPS originhttps://yckd.jlxy.top

授权测试小程序 AppIDwxeddbdf90c415d248

模板来源小程序 AppIDwxe0842ada0333e6bd

第三方平台 AppID从微信开放平台获取，以管理后台当前值为准

域名格式不要凭经验补写 固定共享 HTTPS origin 优先使用标准 443 端口，但微信不同字段对“域名 / URL / 协议”的要求并不相同。请以微信页面输入框提示、现场校验结果和线上真实用途为准，不要把同一字符串直接粘贴到所有字段。

反向代理风险 网关必须正确传递并由应用可信地处理原始协议和主机头。代理头配置错误可能让后台生成错误的 HTTP 地址或错误域名；填写前必须从公网验证最终 HTTPS 地址。

微信开放平台填写助手

助手按“消息与事件接收、域名配置、测试与白名单”分组，逐项显示微信下拉选择、粘贴内容、来源和当前状态。复制仍不代表公网连通、TLS 证书、微信权限或回调验签已经通过。

开发资料的共同约束 消息与事件接收 URL 必须包含 /$APPID$。微信规则要求两条接收 URL 使用同一一级域名；填写助手为降低误填风险，额外要求二者使用完全相同的 HTTPS origin，否则两项都禁止复制。开发资料每月最多修改 50 次；修改先作用于授权测试账号，全网发布后才对其他授权账号生效。

回调 URL 的填写方式 助手只接受后端返回的完整 HTTPS URL。校验通过后，微信“协议”下拉选择 https://，输入框只粘贴助手拆出的不带协议内容，并用“完整预览”复核。HTTP、格式错误或缺少必要占位符时复制按钮会禁用。

一次性 Token / EncodingAESKey 操作 已保存旧明文不可恢复也不会回显，后端仍只返回状态和指纹；本次草稿可以临时显示和复制。需要轮换时，在敏感输入框人工输入，或用“安全生成”通过 Web Crypto 生成 32 位 Token / 43 位 EncodingAESKey。复制后新值会进入系统剪贴板，应立即粘贴到微信后台，随后覆盖或清理剪贴板并检查系统剪贴板历史。草稿不进入 localStorage、URL 或日志；保存失败会保留本次输入供重试和再次复制，保存成功、浏览器刷新、确认离开开放平台页或退出登录后清空。第三方平台 AppSecret（ComponentSecret）不提供生成、显示或复制。

第一阶段轮换不是原子操作 微信后台与本系统无法原子同步 Token / EncodingAESKey。应在低峰期操作，切换期间可能短暂出现回调验签或解密失败；两端使用同一新值后，立即执行真实微信回调验证和健康诊断。

1. 授权事件接收配置

填什么：微信协议下拉选择 https://，输入框粘贴助手从 componentEventUrl 拆出的不带协议内容，用于接收授权事件与 ComponentVerifyTicket。

从哪里获取：平台主管后台 → 微信开放平台 → 填写助手 → “消息与事件接收”。不要与消息回调或系统 OAuth 回调混用。

如何验收：从公网验证 HTTPS 可达并通过微信保存校验，再运行健康诊断，确认最近 Ticket 接收时间持续更新。

2. 消息与事件接收配置

填什么：微信协议下拉选择 https://，输入框粘贴助手拆出的不带协议内容；必须包含并原样保留 /$APPID$/，不要提前替换成任何小程序 AppID。

从哪里获取：填写助手 → “消息与事件接收”。它应与授权事件接收 URL 使用相同一级域名；authorizationCallbackUrl 只在助手底部作为“系统参考值｜无需填写微信后台”展示，没有主复制按钮。

如何验收：使用授权测试小程序触发消息与事件，确认应用收到微信替换 AppID 后的请求并完成验签、解密和业务响应。

3. 消息校验 Token

填什么：填写 3–32 位 Token（仅字母数字），并保证微信后台与本后台完全一致。

从哪里获取：由平台主管在敏感输入框人工输入，或使用 Web Crypto“安全生成”32 位字母数字新值，再复制本次输入；已配置旧明文不可恢复。

如何验收：微信保存校验通过，真实授权事件和消息回调均能通过签名校验；后台只应显示“已配置”和指纹。

4. 消息加解密 Key

填什么：填写 43 位 EncodingAESKey（仅字母数字），并保证微信后台与本后台完全一致。

从哪里获取：由平台主管在敏感输入框人工输入，或使用 Web Crypto“安全生成”43 位字母数字新值，再复制本次输入；已配置旧明文不可恢复。

如何验收：授权测试小程序的加密回调能完成验签和解密；保存成功后后台只显示配置状态和指纹，服务端不返回已保存旧明文，本次草稿仅可按前述方式临时复制。

5. 授权发起页域名

填什么：直接粘贴助手从 authorizationLaunchDomain 校验后显示的 host，不擅自追加协议或路径。

从哪里获取：填写助手 → “域名配置” → “授权发起页域名”，来源是后端当前设置。

如何验收：微信页面保存通过，并能从该域名正常发起测试小程序授权；浏览器最终地址必须保持公网 HTTPS。

6. 小程序服务器域名

填什么：按线上真实用途分别填写 request、uploadFile、downloadFile 与 socket 域名，合计最多 1000 个。助手只把共享 HTTPS origin 作为建议候选。

从哪里获取：助手从有效授权事件 URL 提取共享 origin；必须结合已部署请求清单和网关配置人工确认后才可复制。助手不会虚构 socket、CDN 或其他域名。

如何验收：微信保存通过，并在授权测试小程序中逐类发起真实请求，确认无域名拦截、TLS 或跨域错误。

7. 小程序业务域名

填什么：只填写真实承载 WebView 业务且已完成公网 HTTPS 部署的域名，最多 300 个。

从哪里获取：当前助手没有可靠来源，会显示“暂不生成 / 需人工确认”；必须从产品 WebView 路由与线上部署清单核对。微信业务域名校验文件必须走受控线上发布，禁止提交到代码仓库。

如何验收：微信页面域名校验通过，并在授权测试小程序中打开实际 WebView 页面，确认 HTTPS、跳转链和最终域名均正确。

8. 授权测试账号列表

填什么：这里填写授权测试小程序 AppID 列表，不是测试人员标识；最多 20 个，第一个值填写 wxeddbdf90c415d248。

从哪里获取：从授权测试小程序的开发设置获取 AppID，并与本后台“测试小程序 AppID”当前值核对。

如何验收：保存后先确认开发资料修改已作用于该测试 AppID，再完成授权、消息回调、体验码和发布前全链路验证。

9. 白名单 IP

填什么：只填写已确认的生产公网出口 IP，最多 100 个。

从哪里获取：当前助手没有可靠来源，会显示“暂不生成 / 需人工确认”；由网络与运维从真实生产出口核验提供，不使用内网地址、临时开发机地址或推测值。

如何验收：从生产服务发起需要白名单的真实微信 API 请求，确认不再因来源 IP 被拒绝，并由运维留存核验记录。

本后台 8 项配置字段

字段旁的“查看说明”会直接定位到以下锚点。五项普通字段可读写；三项敏感字段仅允许更新，不回显已有明文。

字段 1

第三方平台 AppID

填什么：填写固定 18 位第三方平台 AppID。从哪里获取：微信开放平台的第三方平台详情，以本后台当前保存值为准，本手册不硬编码。如何验收：保存后运行健康诊断，核对平台身份、Ticket 与 Token。变更 AppID 会使 Ticket 和 Token 缓存失效；已有租户授权后禁止更换，否则还可能破坏现有授权关系。

字段 2

测试小程序 AppID

填什么：填写固定 18 位 AppID，当前项目值为 wxeddbdf90c415d248。从哪里获取：授权测试小程序开发设置。如何验收：与微信开放平台授权测试账号列表第一个值一致，并完成授权和全链路测试。

字段 3

测试小程序名称

填什么：填写不超过 60 个字符的测试小程序名称。从哪里获取：该小程序的微信公众平台基本资料。如何验收：名称与测试 AppID 所属账号一致，可在授权、模板和诊断记录中人工核对。

字段 4

模板小程序 AppID

填什么：填写固定 18 位模板来源 AppID，当前值为 wxe0842ada0333e6bd。从哪里获取：模板来源小程序开发设置。如何验收：同步模板后只允许选择来源 AppID 匹配且模板 ID 有效的条目。

字段 5

模板小程序名称

填什么：填写不超过 60 个字符的模板来源小程序名称。从哪里获取：模板来源账号的微信公众平台基本资料。如何验收：名称与来源 AppID 对应账号一致；它只用于人工核对，不参与签名或权限判断。

字段 6 · 敏感

第三方平台 AppSecret（ComponentSecret）

填什么：仅初始化或轮换时填写 32 位第三方平台 AppSecret（ComponentSecret，仅字母数字），留空表示保持现有值。从哪里获取：微信开放平台 → 第三方平台详情中的 AppSecret，不是授权测试小程序或代码模板小程序的 AppSecret；必须通过受控渠道录入。如何验收：变更 Secret 会使 Ticket / ComponentAccessToken 缓存失效；保存后立即等待新 Ticket、运行健康诊断并验证现有授权。

字段 7 · 敏感

消息校验 Token

填什么：填写与微信开放平台一致的 3–32 位 Token（仅字母数字），留空表示保持不变。从哪里获取：平台主管在微信开发资料中设置的新值。如何验收：真实回调验签通过，后台只展示配置状态和指纹。

字段 8 · 敏感

EncodingAESKey

填什么：填写与微信开放平台一致的 43 位 EncodingAESKey（仅字母数字），留空表示保持不变。从哪里获取：微信开发资料页面生成或确认，通过受控渠道录入。如何验收：真实加密回调能验签解密，后台只展示状态和指纹；不通过聊天、截图或文档传递明文。

目标权限 7 项

requiredPermissionLabels 只表示本系统目标权限名称，不表示微信后台已经开通。实际权限必须在授权页和租户授权详情中逐项核对。

获取小程序码
小程序开发与数据分析
小程序基本信息管理
小程序链接管理
小程序支付管理服务
流量主代运营权限集
消息推送调试工具

微信可能根据主体、类目或平台资质调整可授权范围。后台显示目标名称不等于租户已授予，缺少权限时应重新发起授权并让管理员在微信页面确认。

模板、草稿与受控发布

先同步模板列表，只选择来源 AppID 为 wxe0842ada0333e6bd 且模板 ID 有效的条目。
选择已经授权的租户和合规模板，核对系统从模板同步出的版本号和改动说明后直接创建发布草稿，不再重复填写。服务店铺由小程序运行时根据店铺列表和用户选择确定，不在发布草稿中填写或写死。
上传代码后先获取体验码，完成核心页面、隐私接口、域名和授权能力验证。
提审时从后端返回的代码页面与服务类目候选中选择真实审核项，不伪造类目；审核版本说明自动使用发布草稿保存的模板改动说明。
审核通过后仍需强确认才能发布；任何“结果未知”状态都必须刷新对账，不能直接重试造成重复动作。

租户授权流程

确认平台主管身份、目标租户和测试账号。
检查目标权限 7 项，仅把它们视为授权目标，不标记为“已开通”。
生成一次性授权链接，在新页面完成微信授权；不要把授权链接发布到官网或群聊。
返回后台刷新租户状态，核对授权小程序 AppID、权限列表和 AccessToken 可用性。
出现“需补充授权 / 需重新授权”时，先核对原因再重新发起，禁止用其他租户链接替代。

健康诊断

每次初始化、更新第三方平台 AppSecret（ComponentSecret）/ Token / EncodingAESKey、调整域名或反向代理后，都应重新诊断并人工验证：

开放平台功能开关与配置状态正常。
ComponentVerifyTicket 最近接收时间持续更新。
ComponentAccessToken 可用且剩余有效期合理。
授权事件地址和消息事件地址可从公网 HTTPS 到达并通过验签解密。
授权完成回调能回到系统，但不被误填为微信消息接收地址。

管理后台生成了 URL 或健康接口返回“已配置”，都不能替代外网、TLS、反向代理、微信权限和真实回调测试。

全网发布前检查

开发资料修改只先作用于授权测试账号；完成下列验证并执行全网发布后，才会对其他授权账号生效。

共享 HTTPS origin 使用稳定域名和标准 443，证书链从公网验证通过。
授权事件、消息事件、Token、EncodingAESKey 均完成真实微信回调验证。
服务器域名、业务域名、测试账号与公网出口 IP 均按微信页面现场核对。
业务域名校验文件只部署到受控线上位置，未进入仓库。
目标权限实际获批，测试小程序完成授权、体验和消息链路验证。
模板来源、审核类目、隐私状态和发布版本均与本次上线内容一致。
保存回滚信息；AppID 或 Secret 变更后已清理失效缓存并重新诊断。

常见错误与排查顺序

收不到 Ticket	先核对授权事件接收 URL、Token、EncodingAESKey，再检查公网 HTTPS、反向代理转发、时间同步和应用日志。
消息回调 404 / 验签失败	确认填写的是带字面量 $APPID$ 的消息与事件接收 URL，没有误用系统授权完成回调。
生成地址为 HTTP 或错误域名	核对固定共享 HTTPS origin、标准 443、代理 Host / Proto 头和应用对可信代理的配置。
权限名称已显示但接口无权限	目标权限名称不等于已开通；查看租户已授权权限并重新发起补充授权。
模板不可选	核对模板来源 AppID 是否为 `wxe0842ada0333e6bd`，模板 ID 是否有效，并重新同步。
更新 Secret 后诊断失败	Secret 变更会使 Ticket / Token 缓存失效；确认微信与后台值一致，等待新 Ticket 并重新诊断。
已有授权后想更换平台 AppID	不要直接修改。已有授权关系与平台 AppID 绑定，应制定独立迁移方案并由平台主管审批。

安全边界

第三方平台 AppSecret（ComponentSecret）、消息校验 Token、EncodingAESKey 永远不进入只读复制清单，后台只显示配置状态和指纹。
敏感输入框留空表示保持原配置不变；输入新值即执行轮换，保存后不回显。
授权链接是一次性高权限入口，不放在公开官网，不通过群聊长期传播。
第三方平台 AppID 不在文档硬编码，以微信开放平台和后台当前值为准。
业务域名校验文件不得提交仓库；白名单 IP 只填写已确认的公网出口 IP。
四项动态值只是建议填写值，复制后仍需人工核对微信字段、外网、TLS、权限和实际用途。

官方入口

微信开放平台微信开发者文档第三方平台申请资料说明授权流程技术说明

以上均为不带登录 token 或临时参数的微信官方链接；不要保存带登录态或临时参数的页面地址。

返回顶部