微信登录必须依赖服务端，html仅能展示二维码或触发跳转；js-sdk需后端生成signature，网页扫码登录须严格校验appid、redirect_uri等参数，且必须带#wechat_redirect锚点。
微信登录必须用官方 SDK，不能纯 HTML 实现
HTML 本身没有能力调起微信授权、获取用户 openid 或完成静默登录。所谓“微信登录界面”，只是个前端展示层，背后必须依赖微信 JS-SDK（公众号场景）或微信开放平台的 OAuth2 接口（网页应用），且需服务端配合签名、重定向和 token 换取。
常见错误现象：config:invalid signature、invalid appid、点击按钮无反应、跳转后白屏——90% 是因为没走服务端，或签名逻辑写在前端被暴露了。
- 微信 JS-SDK 的
wx.config()必须由后端生成signature，前端只传jsapi_ticket和nonceStr等参与计算，绝不能把appsecret或原始签名逻辑放前端 - 如果是微信内打开的网页（公众号菜单、自定义菜单链接），用 JS-SDK 的
wx.openAddress类接口不适用；真正要用的是wx.login+code换openid，但该code只能用一次，且必须由后端拿去微信服务器兑换 - 非微信内置浏览器（比如手机 Safari 打开链接）无法调用 JS-SDK，此时只能走微信开放平台的网页扫码登录，即显示一个
https://open.weixin.qq.com/connect/qrconnect?开头的二维码 URL
微信网页登录（扫码模式）的 HTML 能做什么
你唯一可控的，是渲染一个带二维码的登录页，并监听扫码后的回调。整个流程中，HTML 只负责：展示二维码、轮询登录状态、跳转成功页。
关键点在于，https://open.weixin.qq.com/connect/qrconnect 这个地址必须带上正确的参数，否则会报 redirect_uri malformed 或 invalid redirect_uri。
立即学习“前端免费学习笔记（深入）”；
-
appid：必须是微信开放平台绑定的网页应用 AppID，不是公众号 AppID -
redirect_uri：必须 URL 编码，且与开放平台后台填写的**完全一致**（协议、域名、路径、甚至末尾斜杠都不能错） -
response_type=code：固定值，不能写成token或漏掉 -
scope=snsapi_login：这是唯一支持网页扫码获取用户基本信息的 scope；snsapi_base只能拿到 openid，且不弹授权框，不能用于登录态建立 - 最后必须加
#wechat_redirect锚点，否则微信不会跳回你的页面
示例链接（注意编码）：https://open.weixin.qq.com/connect/qrconnect?appid=wx1234567890&redirect_uri=https%3A%2F%2Fexample.com%2Fauth%2Fcallback&response_type=code&scope=snsapi_login&state=abc123#wechat_redirect
微信内 H5 登录（JS-SDK）的 HTML 配置要点
在微信内置浏览器里，你可以隐藏二维码，直接调起授权弹窗，但前提是页面已注入 JS-SDK 并完成 wx.config() 初始化。这一步失败，后面全白搭。
最容易被忽略的是：JS-SDK 的 jsApiList 里必须显式声明 chooseImage、getLocation 这类接口名，但微信登录用的是 openLocation？不，它根本不在这张表里——微信登录靠的是 location.href = 'https://...' 或 window.location.replace() 跳转，跟 JS-SDK 无关。
- 真正需要配置的 JS-SDK 接口只有
onMenuShareTimeline等分享类，登录本身不需要任何jsApiList条目 -
wx.config()的url参数必须是当前页面的完整 URL（含 hash 前的部分），不能是 history.pushState 后的路径，否则签名校验失败 - 调试时打开微信开发者工具，在“调试”面板看 console 是否有
config ok或config fail，而不是靠肉眼判断按钮有没有反应 - 安卓微信 8.0+ 对
location.href跳转更敏感，有时需改用window.location.replace()避免历史栈污染导致回退异常
服务端不可省，但 HTML 可以提前准备登录态检查
用户扫完码、授权完成后，微信会重定向到你指定的 redirect_uri，并附上 code 和 state。这时候 HTML 页面还没开始执行 JS，但你可以用服务端模板（如 EJS、Thymeleaf）或简单内联 JS 做轻量判断。
例如，在回调页 HTML 中嵌入一段脚本，检查 URL 参数是否有 code，有就立即发 AJAX 给后端换 token，没就显示“登录中…”并轮询；但注意：不能用 fetch 直接请求微信接口，必须走你自己的后端代理，否则跨域且暴露 appsecret。
- 前端轮询接口应返回统一结构，比如
{ status: "success", uid: "u_123" }或{ status: "waiting" }，避免用 HTTP 状态码做业务判断 -
state参数必须和服务端生成时一致，用来防 CSRF，HTML 里不要硬编码，应从服务端模板变量或 meta 标签里读取 - 登录成功后跳转前，建议用
sessionStorage存个临时标记，防止用户手贱刷新导致重复请求
事情说清了就结束：微信登录不是前端能闭环的事，HTML 最多是个画布和触发器，真正的钥匙永远在服务端手里。
