4、微信网页开发规范：JS-SDK安全域名配置、OAuth2.0授权流程、网页内容安全审核的规避
好，咱们进入第四个章节。网页开发，是微信生态里最灵活、也最容易踩坑的一块。很多朋友觉得，不就是做个H5页面嘛，有什么难的？
嗯，真没那么简单。我见过太多项目，功能都写好了，结果上线前被卡在域名配置上，或者因为分享文案里带了个“最”字，直接被封链接。今天咱们就把这几个硬骨头啃下来。
4.1 JS-SDK安全域名配置：别让“安全”成了绊脚石
先说说JS-SDK。这东西很强大，能调起微信的扫一扫、分享、支付、定位。但前提是——你的域名得先过审。
核心红线：JS-SDK的安全域名，必须在微信公众平台的“JS接口安全域名”里配置。而且，一个公众号最多只能配三个。端口号、协议头（http/https）都不算，只看域名主体。
我有个朋友，项目上线前才发现，测试域名和正式域名没分开配。结果正式环境调不起扫一扫，用户反馈炸了。后来怎么解决的？硬着头皮删了一个不用的域名，才补上。
配置时的几个关键点：
- 域名必须ICP备案，且与公众号主体一致。别想着用个人备案的域名去接企业号的JS-SDK，门儿都没有。
- 支持多级域名，比如
mp.weixin.qq.com和open.weixin.qq.com是两个不同的域名，都得单独配。 - 配置后生效时间：通常5分钟内生效，但有时候微信那边有缓存，我建议你配完后等10分钟再测。
我的小习惯：我会在项目初期就把三个域名名额规划好：一个正式域名、一个测试域名、一个备用域名。千万别等到上线前才去改，那时候手忙脚乱，容易出错。
4.2 OAuth2.0授权流程：用户信息怎么拿才合规？
网页里要获取用户头像、昵称，就得走OAuth2.0。这个流程其实不复杂，但很多人把静默授权和手动授权搞混了。
两种授权模式的区别：
| 授权模式 | scope参数 | 用户感知 | 能拿到的信息 |
|---|---|---|---|
| 静默授权 | snsapi_base | 无弹窗，直接跳转 | 仅openid |
| 手动授权 | snsapi_userinfo | 弹出确认框 | openid + 头像昵称等 |
说白了，如果你只是需要识别用户身份（比如判断是否关注），用静默授权就够了。但如果你想展示用户头像，那就必须走手动授权。
标准授权流程（我习惯这么写）：
// 第一步：引导用户跳转授权页面
// 注意：redirect_uri 必须经过urlencode
const appId = '你的AppId';
const redirectUri = encodeURIComponent('https://你的域名/oauth/callback');
const scope = 'snsapi_userinfo'; // 或 snsapi_base
const state = '自定义参数'; // 防CSRF攻击
const authUrl = `https://open.weixin.qq.com/connect/oauth2/authorize?appid=${appId}&redirect_uri=${redirectUri}&response_type=code&scope=${scope}&state=${state}#wechat_redirect`;
// 第二步：用户同意后，微信会回调你的redirect_uri，带上code
// 第三步：用code换取access_token和openid
// 接口：https://api.weixin.qq.com/sns/oauth2/access_token?appid=APPID&secret=SECRET&code=CODE&grant_type=authorization_code
避坑指南：我曾经遇到一个项目，回调地址写成了http，结果微信强制要求https，导致授权失败。记住，微信公众平台后台配置的“网页授权域名”必须是https的，而且不能带端口号。
还有一个细节：access_token的有效期只有2小时。如果你需要长期保存用户信息，建议在拿到用户信息后，自己存到数据库里，别每次都去调微信接口。
4.3 网页内容安全审核：诱导分享与虚假宣传的“雷区”
这部分，说白了就是“什么能写，什么不能写”。微信对网页内容的审核，比你想的严格得多。我见过一个案例，一个教育类H5，因为标题写了“全网最全”，被判定为虚假宣传，直接封了链接。
常见的违规类型：
- 诱导分享：比如“分享后才能查看答案”、“分享给5个好友才能领红包”。这种属于典型违规，微信会直接封禁。
- 虚假宣传：使用“最”、“第一”、“国家级”等绝对化用语。哪怕你产品真的很好，也别这么写。
- 强制关注：要求用户必须先关注公众号才能使用功能。这个也是红线。
- 低俗/色情内容：这个不用多说，碰都不要碰。
我的经验：在内容上线前，我会用微信官方的“内容安全检测接口”先扫一遍。接口地址是：
https://api.weixin.qq.com/wxa/msg_sec_check。虽然不能100%覆盖，但能过滤掉大部分明显违规的内容。
如何规避这些风险？
- 文案自查：所有涉及“分享”、“关注”、“红包”的文案，都要谨慎。能用“推荐给朋友”代替“分享给好友”，就尽量用前者。
- 功能设计：不要做“强制分享”的逻辑。比如用户完成某个任务后，可以弹出一个“分享到朋友圈”的按钮，但用户不点也能继续用。
- 定期巡检：微信的审核规则会变。我建议每个月至少检查一次线上页面的文案，尤其是那些用了很久的老页面。
一个小技巧：如果你不确定某个词是否违规，可以在微信公众平台的“素材管理”里新建一个图文消息，把文案贴进去，系统会自动检测敏感词。虽然不完美，但比你自己猜强多了。
嗯，网页开发这块，其实技术难度不大，难的是对规则的敬畏。你想想看，一个功能写得再好，如果因为违规被下架，那前面的努力全白费了。所以，合规不是束缚，而是保护。