“无效的Code”错误表明微信OAuth2的code已过期、重复使用或与当前请求上下文不匹配；该code为一次性且仅5分钟有效，超时、重试、域名不一致、state丢失或AppID/Secret错配均会触发此报错。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
当WorkBuddy通过微信OAuth2接入时返回“无效的Code”错误，通常表明授权临时票据code已失效、重复使用或与当前请求上下文不匹配。该code为一次性且有效期仅为5分钟，超时或跨环境复用均会触发此报错。以下是具体处理步骤：
一、确认Code是否已超时或重复使用
微信OAuth2流程中生成的code具有严格时效性与单次性，服务端必须在获取后立即交换access_token，延迟或重试将导致code失效。
1、检查WorkBuddy后端日志中code接收时间戳，确认距微信回调发起时间是否超过300秒。
2、核查代码逻辑是否存在对同一code发起多次token换取请求，例如因网络超时重试未做幂等控制。
3、验证回调URL中接收到的code参数是否被中间层（如Nginx、API网关）截断、转码或添加空格，导致原始字符串失真。
4、使用curl -v "https://api.weixin.qq.com/sns/oauth2/access_token?appid=APPID&secret=SECRET&code=CODE&grant_type=authorization_code"手动测试该code，观察返回结果是否为{"errcode":40029,"errmsg":"invalid code"}。
二、校验授权域名与回调地址配置一致性
微信要求OAuth2回调域名必须与公众号/开放平台后台登记的授权域名完全一致，包括协议、端口、路径前缀及尾部斜杠，任何偏差都将使code生成阶段即被微信拒绝。
1、登录微信公众平台 →「开发」→「接口权限」→「网页服务」→「网页授权获取用户基本信息」，核对「授权回调域」是否填写为纯域名（如workbuddy.example.com），不含http/https及路径。
2、确认WorkBuddy实际发起授权请求时使用的redirect_uri参数，其域名部分必须与上述授权回调域精确匹配，且编码格式为UTF-8。
3、若使用子路径（如/workbuddy/auth），需确保该路径已在企业微信或公众号后台的「业务域名」白名单中备案，并通过JS接口安全域名校验。
4、检查服务器反向代理配置，确保X-Forwarded-Host或Host头未被篡改，避免微信回调请求被误导向非备案域名。
三、排查多实例部署下的Session与State丢失
在负载均衡或多节点部署场景下，若state参数未持久化或未共享，可能导致code与原始授权请求上下文脱节，微信虽返回code，但服务端无法关联对应用户会话。
1、确认WorkBuddy在发起OAuth2请求时生成的state参数是否写入客户端Cookie或Redis，并设置合理过期时间（建议≥600秒）。
2、验证回调接口是否从Cookie或请求头中正确提取state，并与微信回调携带的state值进行严格比对（区分大小写、空格、编码）。
3、若使用Redis存储state，检查连接是否正常、key命名空间是否冲突、序列化方式是否一致（如JSON vs 字符串直存）。
4、在回调入口处添加日志，记录接收到的state、code、remote_addr及时间戳，比对发起授权时日志中的对应字段是否一致。
四、检查AppID与AppSecret是否匹配且未轮换
code有效性依赖于生成时所用的AppID与后续换取token时提供的AppID/Secret完全一致；若曾更换密钥或在多个环境中混用凭证，将直接导致code无效。
1、确认当前调用sns/oauth2/access_token接口所用的appid与发起sns/oauth2/authorize请求时的appid为同一公众号或开放平台应用ID。
2、进入微信公众平台 →「设置与开发」→「公众号设置」→「功能设置」，查看「JS接口安全域名」旁显示的AppID是否与代码中硬编码或配置中心读取的一致。
3、检查AppSecret是否近期被重置：若重置，所有此前生成的code立即作废，需清除缓存并强制用户重新授权。
4、验证AppSecret是否被URL编码或Base64误处理，确保传入token接口的secret为原始明文字符串，无额外填充或换行符。
