微信开放平台身份接口标准化与安全评价
采用统一协议安全评价方法。本页评价网站、App、公众号和小程序向外部系统提供的身份协议，不以用户规模、客户端 SDK 或微信生态能力加分。
结论
41.5 / 100（D）。微信登录使用授权码、state、短期 token 和后端换票，能够安全支撑 C 端登录；但四类入口存在不同私有端点和身份语义，未提供可验证的完整 OIDC Discovery、id_token、JWKS、PKCE、标准吊销或发送方约束令牌。AppSecret 和 token 出现在查询参数的遗留设计增加日志泄露风险。它是广泛可用的厂商登录，不是可替换的标准身份源。
统一评分
| 技术维度 | 权重 | 分数 | 依据 |
|---|---|---|---|
| 身份联邦与协议互操作 | 20% | 2.0 | 网站/App/公众号采用 OAuth 式流程，小程序另有私有换票；没有公开验证完整 OIDC Provider |
| 授权流程安全 | 15% | 2.0 | 授权码、state 和回调域可用；网站登录未采用 PKCE，四类入口没有统一标准流程 |
| 令牌与客户端凭据安全 | 15% | 1.5 | token 有时效和刷新，但 AppSecret/token 进入查询参数；未验证标准吊销、轮换重放检测或发送方约束 |
| 权限模型与最小授权 | 15% | 2.5 | 有产品线专用 scope 和审核；scope 较粗且跨产品语义不统一 |
| 密码学与密钥生命周期 | 10% | 2.0 | HTTPS 可用；无标准签名 id_token、JWKS/kid 和非对称客户端认证证据 |
| 主体标识与账号生命周期 | 10% | 2.5 | (appid, openid) 作用域明确，unionid 有条件关联；无标准 iss/sub、企业停用或 SCIM |
| 回调、事件与防重放 | 10% | 2.5 | 各产品有签名/回调机制，但协议私有，登录链路主要依赖 code、state 和接入方会话控制 |
| API 传输与消息语义 | 5% | 1.5 | HTTPS 存在，但 Secret/token 查询参数和私有错误结构不符合新接口安全基线 |
标准符合度判断
- “OAuth2 授权码思路”不等于完整 OAuth/OIDC。微信 access token 是资源访问凭据，不能证明用户身份，也不能作为企业内部
id_token。 openid只在应用作用域内有效；unionid只有在平台绑定条件满足并真实返回时才能用于关联，不能当无条件全局sub。- 小程序
session_key是平台私有会话材料，不是标准 OAuth token，也不应被业务系统直接当登录会话。 - 网站、移动、公众号和小程序各自的端点与 scope 增加了专用适配成本；客户端 OpenSDK 只封装平台行为，不改变协议互操作性。
- PKCE 并不只适用于“标准 OAuth 厂商”；它正是公共客户端防止授权码截获的通用控制。微信未采用 PKCE 应被记录为标准差距，而不是解释为无需使用。
建议微信按此顺序改进
- 在现有登录之上提供统一 OIDC Provider，发布 Discovery、JWKS、标准
id_token/UserInfo 和稳定的iss + sub。 - 网站、移动和适用的小程序桥接流程统一采用授权码 + PKCE，继续保留
state，并为 OIDC 增加nonce。 - 将 AppSecret、authorization code、refresh token 从查询参数迁移到请求体或标准 Authorization 机制，避免代理与日志泄露。
- 提供标准 token revocation、刷新令牌轮换和重放检测；高风险账号操作支持 DPoP 或 mTLS。
- 统一各产品线的错误、scope、账户解绑/注销事件和 subject pairwise 规则，减少四套私有实现。
- 旧接口保留兼容期，但新能力只在标准端点增加，并发布明确迁移计划。
接入企业当前应做什么
- 通过 CIAM/身份网关适配微信，由企业自己的 OIDC 服务签发内部令牌；禁止让业务应用直接信任微信 access token。
- 保留
(appid, openid)原始键；只在真实获得且作用域一致时建立unionid关联，并支持撤销/合并。 - AppSecret 和所有换票动作只在后端；对 URL、网关、APM 和错误上报中的查询参数强制脱敏。
- 校验
state、一次性 code、精确回调地址和应用回跳；对账号绑定操作增加二次确认与重放防护。
官方资料
核验日期：2026-07-27。本评分只衡量标准协议和安全基线，不衡量微信登录的用户触达价值。