微信小程序，小程序的一种，英文名Wechat Mini Program，是一种不需要下载安装即可使用的应用，它实现了应用“触手可及”的梦想，用户扫一扫或搜一下即可打开应用
小程序首次打开或销毁后再次被打开，此时小程序需要重新加载启动，即冷启动。会检查小程序是否有最新版本，如果有则将异步下载最新版本，但是仍将运行当前版本等到下一次冷启动时再运行最新版本。
如果用户已经打开过某小程序，然后在一定时间内再次打开该小程序，此时小程序并未被销毁，只是从后台状态进入前台状态，这个过程就是热启动。发布新版本之后，无法立刻影响到所有现网用户，但最差情况下，也在发布之后 24 小时之内下发新版本信息到用户。用户下次打开时会先更新最新版本再打开
官网文档
小程序登录 | 微信开放文档
1、调用 wx.login() 获取 临时登录凭证code ，并回传到开发者服务器。
2、调用 auth.code2Session 接口，换取 用户唯一标识 OpenID 、 用户在微信开放平台帐号下的唯一标识UnionID（若当前小程序已绑定到微信开放平台帐号） 和 会话密钥 session_key。
之后开发者服务器可以根据用户标识来生成自定义登录态，用于后续业务逻辑中前后端交互时识别用户身份。
1、会话密钥 session_key 是对用户数据进行 加密签名 的密钥。为了应用自身的数据安全，开发者服务器不应该把会话密钥下发到小程序，也不应该对外提供这个密钥。
2、临时登录凭证 code 只能使用一次
wx.login(Object object) | 微信开放文档
微信小程序通过wx.login()获取微信登录凭证code
code是一个带有时效性的凭证，有效时间是5分钟，它就相当于一个会过期的临时身份证，过期之后需要调用wx.login()重新生成登录凭证。
假如没有这个登录凭证，而是直接通过wx.login()直接拿到微信用户的编号1，再通过wx.request请求接口拉取到微信用户1在我们业务侧的个人信息，那么黑客就可以通过遍历所有的id，把整个业务侧的个人信息全部拉走，甚至相关的其他数据。
wx.login()是限频接口，一天的调用总次数不多于该小程序pv（访问量）的两倍。“限频接口”指的是一个用户在一段时间内不允许频繁调用的 wx 接口，此类接口一般会调用到微信后台系统资源，为了保护系统，同时防止用户资源被滥用，开发者需要对此类接口做适度的频率限制，不能无节制地调用
调用接口获取登录凭证（code）。通过凭证进而换取用户登录态信息，包括用户在当前小程序的唯一标识（openid）、微信开放平台帐号下的唯一标识（unionid，若当前小程序已绑定到微信开放平台帐号）及本次登录的会话密钥（session_key）等。用户数据的加解密通讯需要依赖会话密钥完成
| 属性 | 类型 | 默认值 | 必填 | 说明 | 最低版本 |
|---|---|---|---|---|---|
| timeout | number | 否 | 超时时间，单位ms | 1.9.90 | |
| success | function | 否 | 接口调用成功的回调函数 | ||
| fail | function | 否 | 接口调用失败的回调函数 | ||
| complete | function | 否 | 接口调用结束的回调函数（调用成功、失败都会执行） |
object.success 回调函数
参数
Object res
| 属性 | 类型 | 说明 |
|---|---|---|
| code | string | 用户登录凭证（有效期五分钟）。开发者需要在开发者服务器后台调用 code2Session，使用 code 换取 openid、unionid、session_key 等信息 |
wx.login({
success (res) {
if (res.code) {
//发起网络请求
wx.request({
url: 'https://example.com/onLogin',
data: {
code: res.code
}
})
} else {
console.log('登录失败！' + res.errMsg)
}
}
})小程序登录 | 微信开放文档
将微信登录凭证code 发送给开发者服务器，也就是我们自己的开发服务器。开发者服务器接收到code 后，将code和 AppID+AppSecret 对接微信接口服务，通过code2Session这个api接口来获取真正需要的微信用户的登录态session_key和 openid 和 unionid
AppID和AppSecret相当于微信小程序的身份证，获取方法：登录微信小程序的管理系统——>开发管理——>开发设置
微信公众平台
access_token
是公众号的全局唯一接口调用凭据，公众号调用各接口时都需使用access_token。开发者需要进行妥善保存。access_token的存储至少要保留512个字符空间。access_token的有效期目前为2个小时，需定时刷新，重复获取将导致上次获取的access_token失效。
准确来说session_key才是真正的微信登录态信息，但是把 openid 和 unionid加起来一起理解，也可以笼统地理解为这些都是微信的登录态信息。
AppID和AppSecret，在小程序管理平台-设置-开发设置，他们是微信鉴别开发者身份的重要信息。AppID是公开信息，AppSecret是开发者的隐私数据，生成之后需要开发者保存起来，如果发现泄露需要在小程序管理平台重置AppSecret。
openid是微信用户的唯一标识
session_key是微信服务器给开发者服务器颁发的身份凭证，官方说需要定期使
wx.checkSession检测，但是在实际的场景里面其实也可以不用，用和不用主要看业务需求；早起官方是返回 expire_time 过期时间的，但是后面取消了，这里有一个比较新的官方回复：用户越频繁使用小程序，session_key有效期越长，…… | 微信开放社区，有效期是3天，但是这个不一定是固定的，具体看业务需求，总的原则就是维护一个自定义登录态，自定义登录需要和微信登录态关联。
unionid是用户在微信开放平台的唯一标识符，如果开发者拥有多个移动应用、网站应用、和公众帐号（包括小程序），可通过unionid来区分用户的唯一性，因为只要是同一个微信开放平台帐号下的移动应用、网站应用和公众帐号（包括小程序），用户的unionid是唯一的。换句话说，同一用户，对同一个微信开放平台下的不同应用，unionId是相同的
code2Session
登录凭证校验。通过 wx.login 接口获得临时登录凭证 code 后传到开发者服务器调用此接口完成登录流程。更多使用方法详见小程序登录。
GET https://api.weixin.qq.com/sns/jscode2session
| 属性 | 类型 | 必填 | 说明 |
|---|---|---|---|
| appid | string | 是 | 小程序 appId |
| secret | string | 是 | 小程序 appSecret |
| js_code | string | 是 | 登录时获取的 code，可通过wx.login获取 |
| grant_type | string | 是 | 授权类型，此处只需填写 authorization_code |
| 属性 | 类型 | 说明 |
|---|---|---|
| session_key | string | 会话密钥 |
| unionid | string | 用户在开放平台的唯一标识符，若当前小程序已绑定到微信开放平台帐号下会返回，详见 UnionID 机制说明。 |
| errmsg | string | 错误信息 |
| openid | string | 用户唯一标识 |
| errcode | int32 | 错误码 |
示例说明: HTTPS请求
GET https://api.weixin.qq.com/sns/jscode2session?appid=APPID&secret=SECRET&js_code=JSCODE&grant_type=authorization_code
{
"openid":"xxxxxx",
"session_key":"xxxxx",
"unionid":"xxxxx",
"errcode":0,
"errmsg":"xxxxx"
}| 错误码 | 错误码取值 | 解决方案 |
|---|---|---|
| 40029 | code 无效 | js_code无效 |
| 45011 | api minute-quota reach limit mustslower retry next minute | API 调用太频繁，请稍候再试 |
| 40226 | code blocked | 高风险等级用户，小程序登录拦截 。风险等级详见用户安全解方案 |
| -1 | system error | 系统繁忙，此时请开发者稍候再试 |
接口应在服务器端调用，详细说明参见服务端API。
getAccessToken
获取小程序全局唯一后台接口调用凭据，token有效期为7200s，开发者需要进行妥善保存。
如使用云开发，可通过云调用免维护 access_token 调用。
如使用云托管，也可以通过微信令牌/开放接口服务免维护 access_token 调用。
GET https://api.weixin.qq.com/cgi-bin/token
| 属性 | 类型 | 必填 | 说明 |
|---|---|---|---|
| grant_type | string | 是 | 填写 client_credential |
| appid | string | 是 | 小程序唯一凭证，即 AppID，可在「微信公众平台 - 设置 - 开发设置」页中获得。（需要已经成为开发者，且帐号没有异常状态） |
| secret | string | 是 | 小程序唯一凭证密钥，即 AppSecret，获取方式同 appid |
| 属性 | 类型 | 说明 |
|---|---|---|
| access_token | string | 获取到的凭证 |
| expires_in | number | 凭证有效时间，单位：秒。目前是7200秒之内的值。 |
access_token 的存储至少要保留 512 个字符空间；access_token 的有效期目前为 2 个小时，需定时刷新，重复获取将导致上次获取的 access_token 失效；access_token，其他业务逻辑服务器所使用的 access_token 均来自于该中控服务器，不应该各自去刷新，否则容易造成冲突，导致 access_token 覆盖而影响业务；access_token 的有效期通过返回的 expires_in 来传达，目前是7200秒之内的值，中控服务器需要根据这个有效时间提前去刷新。在刷新过程中，中控服务器可对外继续输出的老 access_token，此时公众平台后台会保证在5分钟内，新老 access_token 都可用，这保证了第三方业务的平滑过渡；access_token 的有效时间可能会在未来有调整，所以中控服务器不仅需要内部定时主动刷新，还需要提供被动刷新 access_token 的接口，这样便于业务服务器在API调用获知 access_token 已超时的情况下，可以触发 access_token 的刷新流程。详情可参考微信公众平台文档 《获取access_token》
如果使用了云托管或云开发，可以免维护 access_token，免鉴权直接调用服务端接口。
云托管：
云开发：
开发者可以使用网页调试工具调试该接口
示例说明: HTTPS调用示例
GET https://api.weixin.qq.com/cgi-bin/token?grant_type=client_credential&appid=APPID&secret=APPSECRET
{
"access_token":"ACCESS_TOKEN",
"expires_in":7200
}
| 错误码 | 错误码取值 | 解决方案 |
|---|---|---|
| -1 | system error | 系统繁忙，此时请开发者稍候再试 |
| 40001 | invalid credential access_token isinvalid or not latest | 获取 access_token 时 AppSecret 错误，或者 access_token 无效。请开发者认真比对 AppSecret 的正确性，或查看是否正在为恰当的公众号调用接口 |
| 40013 | invalid appid | 不合法的 AppID ，请开发者检查 AppID 的正确性，避免异常字符，注意大小写 |