账号绑定页需严格区分新老用户路径，强制后端校验手机号、验证码、密码，确保redirect_uri精确匹配、state携带来路并防重放，且必须启用CSRF防护。
账号绑定页不是登录页的简单复制，核心在于“已有主账号 + 第三方身份确认 + 显式授权动作”，漏掉任一环节都可能被绕过或触发安全拦截。
第三方回调后怎么判断用户是否已注册
不能只靠 openid 或 unionid 查库就直接登录——必须区分「新用户首次绑定」和「老用户关联已有账号」两种路径。常见错误是把微信回调的 code 换成 access_token 和 userinfo 后，直接用昵称+头像创建新账号，结果用户换手机/清缓存后就无法再登录。
- 后端收到微信
/sns/userinfo返回后，先查数据库是否存在该openid记录 - 若存在，且绑定了手机号，则跳转至「已登录态首页」，不走绑定页
- 若存在但未绑定手机号（比如历史静默授权用户），则进入绑定页，预填
openid并提示「请补全手机号以完成绑定」 - 若不存在，则视为新用户，绑定页需强制输入手机号 + 验证码，并设密码（或走免密登录）
绑定页表单里哪些字段必须后端校验
前端 required 和 pattern 只是体验层防护，真正起作用的是后端对 phone、captcha、password 的三重核验。尤其注意微信环境下的 input[type="tel"] 在 iOS 上会自动补全，导致用户没输完就提交。
-
phone必须校验格式（11位 + 前三位号段合法）且查重（防止同一手机号绑多个微信） -
captcha必须与 session 中存储的验证码严格比对，且单次有效、5分钟过期 -
password若非空，需满足最小长度、大小写字母+数字组合等策略，不能仅靠前端minlength="6" - 所有字段提交时，必须携带原始
state和code，用于反重放校验
微信环境下绑定页为什么总跳回公众号主页
本质是域名配置或重定向地址拼接出错。微信 OAuth2.0 对 redirect_uri 校验极严：编码、协议、端口、路径层级缺一不可，且不允许带 query 参数（除 state 外）。
立即学习“前端免费学习笔记（深入）”；
- 检查公众平台「网页授权域名」是否填了
example.com，而实际跳转用了https://www.example.com/bind（子域不匹配） -
redirect_uri必须 URL encode，例如https%3A%2F%2Fexample.com%2Fbind，不能是裸地址 - 回调地址后端处理完跳转时，不要再加
?code=xxx&state=yyy，否则二次跳转会失败 - 调试时用
location.href打印当前完整 URL，确认是否被微信自动追加了#wechat_redirect
绑定成功后跳转逻辑怎么写才不丢上下文
用户从商品页点击微信登录，绑定完成后理应回到商品页，而不是首页。这个「来路」信息必须在初始 OAuth 请求时就带进去，不能靠 localStorage 临时存——微信内置浏览器会清空部分存储。
- 生成授权链接时，把原始页面 URL 存进
state参数，例如state=%2Fproduct%2F123 - 后端收到回调后，解码
state，校验其为合法路径（防 open redirect），再拼进最终跳转地址 - 避免使用
window.history.back()，微信 WebView 的 history stack 不可靠 - 如果原始页面需要登录态才能访问，跳转前务必确保 session 已写入且 cookie domain 设置正确
最常被忽略的是绑定页的 CSRF 防护——它不像登录表单有明显用户名密码字段，容易被当成静态页面忽略 token 校验。只要表单提交目标是后端接口，就必须带 CSRF token 字段并验证，否则攻击者可伪造绑定请求劫持账号。
