扫码背后的流程拆解
很多人每天都在用微信扫码登录各种网站，比如在电脑上登录公众号后台、企业微信或者第三方平台。点开二维码，掏出手机扫一下，点确认，就进去了。整个过程不到十秒，但背后其实有一套完整的通信机制在跑。
这个二维码并不是一个静态链接，而是一个动态生成的临时凭证。当你打开网页上的微信登录界面时，服务器会立刻向微信开放平台申请一个唯一的会话ID，通常叫UUID（通用唯一标识符）。同时，这个ID会被存到服务器的缓存里，并设置一个过期时间，一般是两到三分钟。
二维码的内容是什么
生成的二维码本质上是一个URL，格式类似于 weixin://wxqr/开头的链接，或者指向 open.weixin.qq.com 的地址，附带刚才生成的UUID参数。手机微信扫描后，能识别这是个登录请求，并把该UUID上传到微信服务器进行状态查询。
此时你的手机并没有直接登录网页账号，而是和微信服务器建立了一次“我正在尝试确认登录”的标记。网页端则通过轮询（每隔几秒发一次请求）向自己的服务器查这个UUID的状态：有没有被扫描？有没有被确认？
扫描之后发生了什么
一旦你扫码并点击“确认登录”，手机微信就会把你的用户身份信息（如OpenID、设备信息等）和这个UUID一起提交给微信服务器。服务器收到后，会更新该UUID的状态为“已确认”，并将用户数据绑定上去。
网页端的轮询请求很快就能拿到这个新状态。比如返回结果变成：{ "status": "confirmed", "openid": "oabc123" }。这时候，网站服务器就知道是谁在登录，于是创建本地会话，自动完成登录跳转。
为什么有时候扫了没反应
常见的一种情况是网络延迟导致轮询失败。比如手机点了确认，但网页这边一直没刷新，可能是因为浏览器卡住、请求超时，或者缓存服务器没及时同步状态。再比如二维码过期了还没扫，系统就会提示“二维码已失效”，需要重新刷新页面获取新的码。
还有一种是权限问题。如果你在微信里没开启“网站登录”权限，或者当前账号被限制使用开放平台功能，扫码后也不会出现确认按钮，只会跳转到空白页或提示错误。
安全机制怎么保障
整个过程中，用户的敏感信息不会暴露给第三方网站。网站只能拿到微信分配的OpenID，除非你主动授权更多资料，否则昵称、头像这些都不会直接给出去。而且每个UUID只能用一次，防止被重复利用。
传输过程全程走HTTPS加密，加上签名验证机制，避免中间人伪造请求。就算有人截获了二维码里的链接，等他拿去扫的时候，多半已经过期了。
// 简化版轮询逻辑示例
setInterval(async () => {
const res = await fetch('/api/check-login?uuid=' + uuid);
const data = await res.json();
if (data.status === 'scanned') {
showTips('已扫码，请在手机上确认');
} else if (data.status === 'confirmed') {
window.location.href = '/dashboard';
} else if (data.status === 'expired') {
alert('二维码已过期');
reloadQrCode();
}
}, 2000);这种设计既方便又相对安全。你不需要记密码，也不用担心账号泄露给小网站。只要守住手机这道门，登录动作就得你亲自点头才算数。