短信与微信登录配置

适用读者实施人员、平台运维状态技术设计已完成，生产联调待进行适用版本首发规划版所需权限平台级身份配置责任人身份平台团队最近复核2026-09-10

CAUTION

本页只公开安全边界，不公开 AccessKey、AppSecret、签名密钥、回调校验材料或管理接口。

阿里云短信

• 购买短信资源不等于可以直接上线；
• 需要完成短信签名、模板审核和发送域名/账号配置；
• AccessKey 只放在受控服务端环境或密钥管理系统；
• 开发环境优先使用模拟适配器，不向真实手机号批量发送；
• 日志不得记录验证码或完整手机号。

微信扫码登录

• 使用微信开放平台“网站应用”的扫码登录能力；
• 开发和测试需要同一公司备案主域下的固定测试子域，不能使用本机回环地址；
• 授权回调域名只填写主机名，回调路径由服务端固定；
• state 必须由服务端随机生成、一次性使用并绑定浏览器会话；
• 微信首次注册仍需验证手机号，用于账号唯一性和找回。

上线检查

• [ ] 测试与生产 AppID、密钥和回调地址隔离；
• [ ] 短信签名主体为北京引瓴数智科技有限公司；
• [ ] 回调只通过 HTTPS；
• [ ] 敏感响应不进入日志；
• [ ] 登录失败不会泄露账号是否存在。