扫码登录本质是复用人工扫码后的浏览器会话凭证，需提取cookies、localStorage等真实登录态供requests使用，而非模拟扫码。
扫码登录的本质是绕过浏览器会话隔离
手机扫码授权的网页（比如微信公众号后台、知乎登录页）本质是服务端把登录态绑定在浏览器 Cookie + localStorage 上，而扫码只是触发服务端生成一个临时票据并关联到你的账号。Python 爬虫无法直接“模拟扫码”，但可以复用扫码成功后的真实浏览器会话。
关键不是破解扫码逻辑，而是把人工扫码产生的 cookies、localStorage 甚至 Authorization 头提取出来，喂给 Python 请求。否则任何基于 requests 的纯代码登录都会卡在“等待扫码”页面，因为服务端根本没给你发有效 ticket。
- 不要尝试用 OpenCV 识别二维码再 POST —— 大多数平台对扫码请求做了设备指纹、Referer、User-Agent 限流，且二维码带有时效性和一次性签名
- 不要用
selenium自动扫码 —— 微信/支付宝等 App 不允许外部程序调起扫码界面，也没法注入图片到手机相册触发识别 - 真实可行路径只有一条：人工扫码 → 浏览器开发者工具抓包 → 提取有效凭证 → Python 复用
从 Chrome DevTools 手动提取登录态的实操步骤
以微信公众号后台为例（其他扫码登录站点流程类似），扫码成功后立刻打开 Chrome DevTools（F12）→ Application → Storage → Cookies 和 LocalStorage，重点找这些字段：
-
token或access_token（常出现在 LocalStorage 或响应头Set-Cookie中） -
cookie中的login_sid、wxuin、wap_sid2这类带平台标识的字段 - Network 标签页里任意一个成功请求的
Request Headers→ 复制完整的Cookie字符串（注意包含Path=/和Domain=mp.weixin.qq.com等属性）
拿到后，用 requests.Session() 直接加载：
立即学习“Python免费学习笔记（深入）”；
import requests
s = requests.Session()
s.cookies.set('wxuin', '1234567890', domain='.mp.weixin.qq.com', path='/')
s.cookies.set('wap_sid2', 'xxx...', domain='.mp.weixin.qq.com', path='/')
resp = s.get('https://mp.weixin.qq.com/cgi-bin/home?t=home/index&lang=zh_CN')requests 与 selenium 混合使用的边界在哪
单纯 requests 无法处理 JS 渲染+动态 token 签名（比如知乎登录后页面通过 window.crypto.subtle.sign() 对请求参数加签），这时必须让浏览器跑完 JS 再导出状态。
- 用
selenium启动 Chrome 并手动扫码，等页面跳转完成 → 调用driver.get_cookies()和driver.execute_script("return localStorage") - 把结果传给
requests.Session()，后续所有接口走 requests（更快、更稳、不卡 UI） - 避免全程用 selenium：它启动慢、内存高、容易被检测为自动化；只让它干“拿凭证”这一件事就够了
示例片段：
from selenium import webdriver
driver = webdriver.Chrome()
driver.get('https://mp.weixin.qq.com/')
# 手动扫码，等待 URL 变成 home 页面
input("扫码完成后按回车...")
cookies = driver.get_cookies()
driver.quit()
<p>s = requests.Session()
for c in cookies:
s.cookies.set(c['name'], c['value'], domain=c.get('domain', ''), path=c.get('path', '/'))哪些字段必须校验有效期和作用域
不是所有 cookie 都能长期复用。以下字段一旦失效就会 403 或重定向到登录页：
-
expires时间戳：比如login_sid通常 7 天过期，但ticket类字段可能 2 小时就失效 -
domain域名匹配：微信后台是.mp.weixin.qq.com，漏掉开头的点或写成mp.weixin.qq.com会导致 cookie 不发送 -
secure和httpOnly：前者要求 HTTPS 请求才发送，后者无法用 JS 读取 —— 如果你从 localStorage 提取不到，就得从driver.get_cookies()拿
建议每次请求前加个轻量探测：
test_resp = s.get('https://mp.weixin.qq.com/cgi-bin/getaccountinfo?t=ajax-getaccountinfo', timeout=5)
if test_resp.status_code != 200 or 'error' in test_resp.json():
raise RuntimeError("Login state expired, re-scan required")扫码登录的数据获取难点不在技术实现，而在凭证生命周期管理 —— 它不像账号密码那样静态，而是一组有时效、有域限制、部分不可见的运行时状态。漏掉任何一个约束条件，爬虫就会静默失败。
