不能直接拿到UnionID，必须满足用户已在同一微信开放平台主体下的任一应用完成授权登录或关注行为，否则code2Session仅返回openid，unionid为空。
uni-app中wx.login + code2Session能直接拿到UnionID吗？
能，但有严格前提：用户必须已在同一微信开放平台主体下，完成过任意一个应用（公众号、App、小程序）的授权登录或关注行为。否则后端调用<a href="https://www.php.cn/link/2faee87e8295a785ed8bd638907b5852">https://www.php.cn/link/2faee87e8295a785ed8bd638907b5852</a>只会返回openid，unionid字段为空。
常见错误现象：
- 新注册微信账号首次访问小程序，后端始终收不到
unionid - A小程序已授权，B小程序（同主体）却拿不到
unionid——其实只要A小程序调用过wx.login并成功换得含unionid的响应，B小程序后续code2Session就能返回unionid（无需用户再次操作）
实操建议：
- 不要依赖前端“猜”有没有
unionid，后端必须检查响应体中是否存在unionid字段 - 在
WeChatResponse.java中把unionid声明为String而非required字段，避免Jackson反序列化失败 - 若业务强依赖
unionid（如多端账号打通），首次登录时应引导用户点击button open-type="getUserInfo"补全授权（注意：该方式已废弃，2026年起仅支持open-type="chooseAvatar"+getPhoneNumber等新路径，见下一条）
uni-app里还能用wx.getUserInfo解密拿UnionID吗？
不能。自2025年11月起，微信官方已全面下线wx.getUserInfo接口的encryptedData中携带unionid的能力。即使用户点了授权按钮，解密后的数据也不再包含unionid字段。
使用场景已失效：
- 旧项目还在用
wx.getUserInfo+ 后端解密方案获取unionid - 以为只要用户点授权，就一定能拿到
unionid
实操建议：
- 立即停用
wx.getUserInfo作为unionid来源 - 替代方案只有两个可靠路径：
- 静默路径：确保用户已在同主体其他应用完成登录/关注，靠
code2Session自然带出unionid - 支付路径：调用
getPaidUnionId（需用户完成支付，且小程序已开通微信支付并配置了商户号）
- 静默路径：确保用户已在同主体其他应用完成登录/关注，靠
Spring Boot后端怎么安全处理code2Session响应？
关键不是“怎么发请求”，而是“怎么判断unionid是否可信”。微信返回的unionid只在满足主体绑定前提时才有效，且不校验调用方身份——也就是说，只要有人伪造合法appid+secret，也能拿到别人家小程序用户的unionid。
常见错误现象：
- 多个小程序共用同一套后端，但
appid和secret硬编码在配置里，导致A小程序的code被误用去换B小程序的session，返回错乱的unionid
实操建议：
- 每个小程序对应独立的
WeChatConfigBean，通过spring.profiles.active或请求头X-App-Id动态加载 - 后端收到
code后，先校验其来源小程序的appid是否与当前请求匹配（例如从JWT或session中提取） - 响应中若含
unionid，务必记录日志：unionid=xxx, openid=yyy, appid=zzz, timestamp=...，便于后续排查跨主体误绑
UniCloud云函数里能直接取到UnionID吗？
能，但仅限于已开通并绑定微信开放平台的小程序，且云函数运行环境需为微信小程序专属（非H5/APP）。调用Cloud.getWXContext()返回的对象中，UNION_ID字段在满足静默条件时会自动注入。
参数差异：
-
Cloud.getWXContext()在H5端返回UNION_ID = null，小程序端才可能有值 - 若返回
UNION_ID = ""或undefined，说明该用户尚未在同主体下建立UnionID绑定关系，不是代码问题
实操建议：
- 不要在云函数里做
if (!ctx.UNION_ID) throw new Error(...)这类强校验，应降级走openid逻辑 - 云数据库写入用户记录时，优先用
UNION_ID做唯一索引，fallback用OPENID + ENV组合索引（避免不同环境同openid冲突）
微信UnionID机制本质是“信任传递”，不是技术开关。它不因你写了某行代码就生效，而取决于用户在微信生态里的真实行为轨迹。很多团队卡在“为什么测试号拿不到unionid”，答案往往就藏在开放平台后台那个没点下去的“绑定主体”按钮里。
