今年才感到 Wechat app 崛起，得知用戶已破10億，甚至微信支付交易筆數早已超車支付寶1.5倍，已乃覺三十里 Orz 想要用境外身份申請，才發現很多都辦不成，像是境外要用公司身份才行，甚至騰訊公開平台的管理者都還得綁有中國銀行卡(金融卡)才搞得定 <囧> 多虧對岸同事的幫忙，可以小試身手一下。
騰訊公開平台的 OAuth2 文件:
https://open.weixin.qq.com/cgi-bin/showdocument?action=dir_list&t=resource/res_list&verify=1&id=open1419316505&token=&lang=zh_CN
需要的留意的是騰訊公開平台的 Web 應用只允許填入一個 hostname/domain 作為 callback handler ，所以，也有人想得很快，透過在統一地方處理完畢後，在拋去其他地方，如：
https://github.com/HADB/GetWeixinCode
在此利用一樣的架構，不過是在 backend 處理 XD 主要是服務常分成 production/alpha/dev site，就把它統一建構在 Production site ，但 Dev site 要登入時，跳去 production site 處理後，再把資料回拋到 dev site（當然也可以申請多個 WeChat Web 應用，每個 site 擁有自己的 Web app）
整個過程都算順利，唯一不太順的地方是 OAuth state 這個參數的使用，原先埋了要跳去其他地方的 callback url 或其他資訊，但測了幾輪發現 state 內若有一些敏感資訊(&)時，回來都會出錯，於是就多加個 base64_encode 來解了（也可以考慮把必要的資料儲存在 cookie）
發動處：
<?php
$init_url = 'https://open.weixin.qq.com/connect/qrconnect?'. http_build_query( array(
'scope' => 'snsapi_login,snsapi_userinfo',
'response_type' => 'code',
'redirect_uri' => 'https://auth.my-domain/wechat/callback',
'state' => base64_encode( http_build_query(array(
'give_me_code' => 1,
'callback' => 'https://service.my-domain/wechat/handle-code',
)) ),
'appid' => $weixin_app_id,
));
負責處理 WeChat OAuth2 回傳資料(code)：https://auth.my-domain/wechat/callback
<?php
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, 'https://api.weixin.qq.com/sns/oauth2/access_token');
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_POST, true);
curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query( array(
'appid' => $weixin_app_id,
'secret' => $weixin_app_secret,
'code' => $code,
'grant_type' => 'authorization_code',
)));
$ret = @json_decode(curl_exec($ch), true);
$state = $_GET['state'];
$state_param = array();
if (!empty($state)) {
$state = @base64_decode($state);
parse_str($state, $state_param);
}
isset($state_param['callback']) && (
preg_match('#http[s]://(.*?)\.my-domain/#i', $state_param['callback'], $match)
) ) {
if (!empty($_GET['code'])) {
if (isset($state_param['give_me_code']) && $state_param['give_me_code'] == '1')
header('Location: '.$state_param['callback'].'?'.http_build_query(array('code' => $_GET['code'])) );
// ...
} else {
header('Location: '.$state_param['callback'].'?'.http_build_query(array('error' => 'no code')) );
}
return;
}
處理 code：
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, 'https://api.weixin.qq.com/sns/oauth2/access_token');
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_POST, true);
curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query( array(
'appid' => $weixin_app_id,
'secret' => $weixin_app_secret,
'code' => $ret_code,
'grant_type' => 'authorization_code',
)));
$ret = @json_decode(curl_exec($ch), true);
if (isset($ret['access_token']) && isset($ret['refresh_token']) && isset($ret['openid']) && isset($ret['unionid'])) {
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, 'https://api.weixin.qq.com/sns/userinfo');
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_POST, true);
curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query( array(
'access_token' => $ret['access_token'],
'openid' => $ret['openid'],
)));
$profile_ret = @json_decode(curl_exec($ch), true);
}
// $profile_ret['nickname']
// $profile_ret['headimgurl']
原先在 callback handler 上，順便做完 code 檢驗，但後來覺得這樣要傳出去的資料太多(且感到不安)，所以還是統一把 code 拋出去，缺點是其他服務就必須都紀錄 WeChat Web 應用的資料(app_id/secret_key)等等，但可以避免受到 DNS 攻擊而把用戶的 access_token 給了出去。
