微信服务器所有域名虽然数量不少，但日常开发与配置真正用到的就那十几个，且不同域名服务于完全不同的业务场景，搞混或者配置错，轻则资源加载失败，重则触发微信安全风控。
很多站长在对接公众号、小程序或者微信支付时，最头疼的不是代码，而是搞不清哪个域名是干嘛的、哪个需要加到白名单、哪个只需要在后台填,下面直接按用途拆开讲。
微信服务器域名有哪些？按用途整理一份配置清单
微信官方并没有把全部域名列在一个页面上，但根据微信开发者文档和各业务入口，可以把常用域名归为四类：官方门户、API接口、静态资源与多媒体、支付与开放平台。
官方门户与登录类域名
- weixin.qq.com：微信官网首页,也是各种业务入口的根域名。
- wx.qq.com：微信网页版登录入口,扫码登录后会连接到聊天服务。
- mp.weixin.qq.com：公众号与小程序后台,也就是登录公众号平台和操作小程序管理时看到的地址。
这类域名做跳转或链接时经常用到，尤其公众号菜单跳转网页版微信，很多人误以为用微信官网域名就行，实际上网页版专用域名是wx.qq.com。
API接口与开发服务类域名
- api.weixin.qq.com：公众号和小程序最核心的接口网关，获取access_token、发送模板消息、创建自定义菜单等操作都走这里。
- open.weixin.qq.com：微信开放平台入口，涉及App微信登录、网站应用接入和第三方平台开发时使用。
静态资源与多媒体文件类域名
- res.wx.qq.com：微信服务器上的通用静态资源，比如公众号后台编辑器里引用的JS文件、CSS样式以及部分默认素材。
- qpic.cn：微信图片和语音消息经常走的域名，公众号文章里插入的图片,很多时候会解析到这个域名上。
- qlogo.cn：微信头像专用域名，用户头像、公众号头像大多存储在这个域名下。
支付与商户类域名
- api.mch.weixin.qq.com：微信支付接口网关，统一下单、订单查询、退款申请全部通过这个域名交互。
- pay.weixin.qq.com：微信支付商户平台入口，商户登录、对账、设置回调都在这里。
企业微信服务器域名
企业微信虽然独立运营，但技术栈与微信同源，登录入口是work.weixin.qq.com，API接口走qyapi.weixin.qq.com，做企业微信开发时,同样需要把回调域名配置到企业微信管理后台。
微信服务器域名安全与用途详解：从回调域名说起
很多新手把“服务器域名”单纯理解为一个网址，实际上在微信生态里，域名的作用更像是一把钥匙，微信安全机制要求：你的前端页面向微信服务器发请求时，微信会校验来源域名；微信服务器给你推送消息时，也要回推到你在后台填写的那个域名上，这个动作就叫“回调”。
微信公众号域名和开放平台域名有什么区别
公众号域名指mp.weixin.qq.com这套体系，主要用于订阅号、服务号的后台操作和接口调用，开放平台域名指open.weixin.qq.com，负责App微信登录、网站扫码登录以及第三方平台托管，区别很直观：公众号域名管的是“公众号内部业务”，开放平台域名管的是“外部系统和微信账号体系的打通”。
公众号网页授权域名怎么安全配置
公众号内嵌网页需要获取用户基本信息时，必须先在后台设置网页授权域名，操作路径：进入mp.weixin.qq.com后台，选择“设置与开发”→“公众号设置”→“功能设置”→“网页授权域名”，这里填写的域名必须是你自己的服务器域名，并且要在该域名根目录下放一个微信提供的校验文件，文件能在线访问,才算绑定成功。
微信支付回调域名怎么设置
支付回调域名不像公众号那样直接填一个网址，而是需要在统一下单接口中传递notify_url参数，这个参数必须是公网可访问的HTTPS链接，且域名需要备案，微信支付官方建议，回调地址不要直接暴露业务接口，最好做一层签名校验逻辑,防止别人伪造支付结果通知。
如何查看微信服务器IP和域名并验证真实性？
很多人担心遇到钓鱼域名，其实验证方法很简单，微信官方域名的所有者信息清晰可查,域名归属和ICP备案都能对得上。
通过备案信息确认域名归属
在工信部ICP备案系统或者各大云服务商的备案查询工具里，输入域名后可以查看主办单位名称，比如qpic.cn、qlogo.cn、weixin.qq.com，备案主体都能查到腾讯或相关关联公司，如果搜索结果里显示的是个人或不相干公司,基本可以断定是假冒域名。
利用whois查询域名注册时间
微信官方域名的注册时间大多在2005年至2011年之间，注册机构为腾讯或其子公司，新注册的域名声称“微信服务器”,一致性就非常可疑。
在开发者工具里实测请求是否来自微信服务器
小程序开发者工具中，左侧菜单“详情”→“域名信息”里可以一键校验服务器域名是否合法，公众号开发者则可以直接在微信公众平台后台“开发”→“基本配置”中复制服务器IP地址，再与自己收到的请求来源IP对比，微信官方文档说明，回调请求来源IP范围是动态更新的,所以更推荐校验签名而不是固定IP。
实操：小程序合法域名配置步骤
- 登录mp.weixin.qq.com，进入“开发”→“开发管理”→“开发设置”。
- 找到“服务器域名”一栏，点击“修改”。
- 在request合法域名中填入自己的业务域名，必须是HTTPS协议,且域名已完成ICP备案。
- 若需要上传文件或下载文件,分别配置uploadFile合法域名和downloadFile合法域名。
- 配置完成后,保存并在开发者工具中重新编译测试。
值得注意的是，小程序官方规定每个类别最多配置200个域名，且不支持IP地址和端口号，这个问题很多新手会忽略，结果填了http://或者带端口的地址,微信直接提示配置不合法。
关于微信服务器所有域名的常见误区
有些开发者觉得把所有微信相关域名全部加到防盗链白名单里就万无一失，其实没必要，微信服务器只会从固定几个域名下发资源,多余的白名单反而增加安全隐患。
为什么公众号文章里图片经常打不开？
原因多半是图片域名qpic.cn被你自己的服务器防盗链给拦了，很多CMS系统默认开启防盗链，只允许自己站点域名访问资源，导致微信图片被拦截，正确做法是把qpic.cn和qlogo.cn加入图片防盗链白名单。
微信服务器域名需要备案吗
微信官方域名的备案情况，腾讯早就处理好了，但开发者自己的业务域名和回调域名必须备案，否则在微信内无法正常访问，据行业共识，未备案域名在小程序请求时会直接报错“域名不合法”。
为什么开发环境可以，线上环境却报错？
开发工具里默认开启了“不校验合法域名”选项，很多人在模拟器里调试时没关掉，上线后就发现所有请求都失败，建议提交审核前关闭该选项,并在真机上完整跑一遍流程。
Q&A：微信服务器所有域名有哪些？配置前先看这三点
问：微信服务器所有域名有哪些？是不是要全部配置到小程序白名单里？
小程序request合法域名只需要填你自己的业务接口域名，微信官方域名（比如api.weixin.qq.com、qpic.cn）并不需要手动添加，微信客户端内置了对官方域名的信任列表,开发者配置时只管自己的服务端域名就好。
问：微信支付回调域名和公众号网页授权域名必须是同一个吗？
不要求同一个，网页授权域名在公众号后台配置，支付回调域名是商户平台里设置的notify_url，两者可以不同，但支付回调域名必须使用HTTPS协议，且必须与商户号绑定，公众号网页授权域名支持修改，但每个月修改次数有限，建议先用独立二级域名,方便以后业务迁移。
问：如何验证一个域名是不是微信官方服务器？
查ICP备案主体是最快的方式，打开工信部域名信息备案管理系统或者简米云、酷番云的备案查询工具，输入域名查看主办单位，weixin.qq.com、res.wx.qq.com、qpic.cn、qlogo.cn这几个域名，备案主体都可以查询到腾讯相关公司的记录，再看一下域名注册时间和注册商，老域名加巨头备案记录，基本可以放心，若对方让你把一个“看起来像微信”的域名加到支付回调里，哪怕长得再像，只要备案主体不是腾讯,直接判定为钓鱼。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e5%be%ae%e4%bf%a1%e6%9c%8d%e5%8a%a1%e5%99%a8%e6%89%80%e6%9c%89%e5%9f%9f%e5%90%8d%e6%9c%89%e5%93%aa%e4%ba%9b%ef%bc%9f%e5%ae%89%e5%85%a8%e4%b8%8e%e7%94%a8%e9%80%94%e8%af%a6%e8%a7%a3%ef%bc%8c%e5%be%ae/
