PHP需用$_GET['code']和$_GET['state']接收微信OAuth2回调参数，因回调为标准GET请求；须确保授权域名配置正确、Web服务器透传查询参数、state服务端缓存校验且不暴露敏感信息。
PHP 如何在微信授权回调中正确接收 _code 和 state
微信 OAuth2 授权回调 URL 会以 GET 参数形式携带 code 和 state（注意：参数名是 code，不是 _code；带下划线的写法是常见误解或框架自动重命名导致的）。PHP 必须用 $_GET['code'] 和 $_GET['state'] 直接读取，不能依赖 $_REQUEST 或 POST 解析方式。
- 微信回调请求是标准 GET，例如：
https://your.domain.com/callback.php?code=081U...&state=abc123 -
$_GET是唯一可靠来源；$_POST和file_get_contents('php://input')都为空 - 若收不到
code，先检查微信公众号后台「授权回调域名」是否配置正确（仅支持一级域名，不带http://或路径） - 某些 Nginx/Apache 配置会过滤含
code的参数（尤其旧版安全模块），可临时加日志验证：error_log(print_r($_GET, true), 3, '/tmp/wechat-callback.log');
为什么 $_GET['code'] 有时为 null 或空字符串
最常见原因是服务器启用了 URL 重写但未透传原始查询参数，或 PHP 被配置为禁用 $_GET（极罕见）。另一个高频场景是前端跳转时手动拼接 URL 却漏了 code —— 实际上该参数由微信服务器自动追加，你只需确保跳转链接是微信生成的完整授权 URL。
- 检查跳转前的 URL 是否包含
redirect_uri且已 urlencode，例如：https://open.weixin.qq.com/connect/oauth2/authorize?appid=wx...&redirect_uri=https%3A%2F%2Fyour.domain.com%2Fcallback.php&response_type=code&scope=snsapi_base&state=abc123#wechat_redirect -
redirect_uri必须和公众号后台配置的**完全一致**（协议、域名、端口、路径），否则微信不返回code - Apache 的
mod_rewrite若使用RewriteRule未加[QSA]标志，会导致原始 query string 丢失 - Nginx 中需确认
try_files或fastcgi_param包含$query_string，例如：fastcgi_param QUERY_STRING $query_string;
state 参数必须校验，且不能只存 session
state 是防止 CSRF 的关键，但仅靠 $_SESSION['state'] 匹配不够健壮——用户可能多标签打开授权页，或 session 在并发请求中被覆盖。建议用服务端短期缓存（如 Redis）存储 state + 用户标识（如 IP 或随机 token），并设置 5 分钟过期。
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 生成
state时应混合不可预测因子，例如：$state = base64_encode(random_bytes(16)) . '_' . time();
- 回调中先验证
$_GET['state']长度和格式，再查缓存匹配，匹配后立即删除该state记录 - 不要把敏感信息（如用户 ID）明文塞进
state，它会暴露在浏览器地址栏和 referer 日志中 - 如果用 ThinkPHP/Laravel 等框架，注意其中间件可能重写
$_GET，优先用框架提供的 request 对象：request()->get('state')
拿到 code 后怎么换 access_token 和用户信息
调用微信接口 https://api.weixin.qq.com/sns/oauth2/access_token 是标准 HTTP GET 请求，必须带上 appid、secret、code 和 grant_type=authorization_code 四个参数。返回 JSON 中的 openid 是后续识别用户的唯一依据，access_token 仅用于拉取用户信息，有效期 2 小时，不可长期存储。
立即学习“PHP免费学习笔记（深入）”；
- 推荐用
cURL发起请求，禁用 SSL 验证（CURLOPT_SSL_VERIFYPEER => false）仅限开发环境，生产必须开启 - 若返回
{"errcode":40163,"errmsg":"code been used"}，说明该code已被使用过一次（微信强制一次性），需前端重新触发授权流程 - 获取用户信息需额外调用
https://api.weixin.qq.com/sns/userinfo，注意此接口返回的nickname是 UTF-8 编码，PHP 输出前需确保页面字符集为 UTF-8 - 不要用
file_get_contents()直接请求微信接口，它默认无超时、无错误处理，容易卡死
code 丢失、state 校验绕过、redirect_uri 域名不匹配这三类问题占实际排障的 80% 以上，动手前先盯住这三个点。 
