微信官方对二级域名绑定的态度
微信公众平台和微信开放平台均不支持直接绑定二级域名作为接口安全域名，但企业微信的管理后台允许企业配置可信域名（含二级域名）用于JS-SDK和OAuth2.0网页授权。这是两个容易混淆的体系，搞清楚区别,你才能避免在配置过程中走弯路。
微信公众平台与开放平台的域名限制
微信公众平台（订阅号、服务号）在开发设置里有一个“JS接口安全域名”选项，不少开发者误以为可以填二级域名，实际测试会发现系统提示“域名格式错误”或“无法验证”，原因很简单：微信官方规定，JS接口安全域名只支持一级域名，example.com，不支持 m.example.com 这种二级域名。
开放平台的“授权回调域名”同样如此，只认一级域名，如果你在开发小程序或网站应用时，回调地址指向二级域名，授权时大概率会报错 redirect_uri参数错误。
企业微信对二级域名的接受程度
企业微信的逻辑不一样，它面向企业内部应用和第三方服务商，域名配置灵活度更高，在企业微信管理后台，你可以添加自有应用，并在“网页授权及JS-SDK”配置中填写可信域名，支持二级域名甚至三级域名。
举个例子，你公司内部OA系统部署在 oa.example.com，只要这个域名能正常访问，并且完成归属验证，就能在企业微信里正常拉起网页授权,免去用户重复登录的麻烦。
企业微信如何配置二级域名：完整操作步骤
配置过程不复杂，但有几个细节容易踩坑,下面按实际操盘顺序拆解。
配置前的准备工作
- 确保你拥有企业微信的管理员权限，普通成员无法进入“应用管理”模块。
- 准备好一个可访问的二级域名，服务器需要部署好HTTPS证书，微信要求域名必须支持
https,自签名证书无效。 - 确认你的企业微信已认证，未认证的企业主体只能使用基础功能,无法配置可信域名。
具体配置步骤：从后台到代码
- 登录企业微信管理后台，路径为
https://work.weixin.qq.com/wework_admin/frame。 - 点击“应用管理” → 找到你的自建应用,点击进入应用详情页。
- 往下滑到“开发者接口”区域，找到“网页授权及JS-SDK”模块，点击“设置可信域名”。
- 输入你的二级域名，
oa.example.com，注意不要加https://前缀,也不要带路径。 - 系统会生成一个
WW_verify_xxx.txt文件，下载后放到该二级域名根目录下。https://oa.example.com/WW_verify_xxx.txt能直接访问到文件内容即视为验证通过。 - 点击“确认”保存，域名配置生效,生效时间在5分钟以内。
域名归属验证失败怎么办
常见失败原因有三个：
- 证书不完整：部分服务器只部署了域名证书，没有部署中间证书，微信检测时无法建立完整信任链，解决方法是检查证书链,把中间证书一并配置到服务器。
- 文件放错位置：校验文件必须放在根目录，不是子目录，很多人放在
/static/或/public/下,微信访问不到。 - 解析未生效：如果你刚改过DNS解析，可能需要等待一段时间，多数情况下，10分钟内能生效，但海外节点解析较慢,建议用全国多地的在线工具测一下。
配置完成后的代码侧对接
域名配置只是第一步，代码侧还需要引入企业微信的JS-SDK，在需要调用微信接口的页面里，引入 https://res.wx.qq.com/open/js/jweixin-1.2.0.js，然后通过后端接口生成签名，签名参数包括 timestamp、nonceStr、signature，signature 需要用 jsapi_ticket 和当前页面的完整URL进行SHA1加密。
特别注意：签名时的URL必须是当前页面的完整地址，包括
http:// 或 https:// 协议头，且不能做任何编码处理，如果页面有路由跳转，建议在 onload 时获取一次URL用于签名,避免SPA应用里URL变化导致签名失效。
企业微信可信域名与微信公众平台域名的本质区别
| 对比项 | 企业微信可信域名 | 微信公众平台JS接口安全域名 |
| 是否支持二级域名 | 支持 | 不支持 |
| 用途 | 企业自建应用网页授权、JS-SDK调用 | 公众号H5页面调用微信JS-SDK |
| 验证方式 | 上传校验文件到域名根目录 | 上传校验文件到域名根目录 |
| 数量限制 | 单个应用最多可配置5个可信域名 | 公众号最多可配置3个 |
行业共识认为，企业微信的域名体系更贴近企业实际部署场景，毕竟企业内部系统往往分布在多个子域下,硬性要求一级域名反而增加运维成本。
为什么微信公众平台坚持要求一级域名
微信官方没有公开解释过原因，但业界普遍推测与安全策略有关，一级域名控制权相对集中，便于微信做风险控制和域名黑名单管理，二级域名数量庞大，如果开放绑定，恶意站点可以频繁更换子域来规避封禁,增加审核难度。
多数情况下，如果你的业务同时涉及公众号和企业微信，建议把两者分开配置：公众号用一级域名，企业微信用二级域名,互不干扰。
企业微信配置二级域名时容易忽视的坑
域名备案问题
如果你的服务器部署在境内，域名必须完成ICP备案，企业微信后台在验证域名时会校验备案信息，未备案的域名直接无法通过。境内备案一般需要7到20个工作日，这点要提前规划，如果你的服务器在境外，域名不需要备案，但访问速度会受影响,且部分微信接口在境外IP下可能触发风控。
同域名下多应用场景
一个二级域名下的不同路径，如果对应多个企业微信应用，每个应用都需要单独配置可信域名。oa.example.com/hr 和 oa.example.com/finance 分属两个应用，两个应用都要把 oa.example.com 加入可信域名列表，配置时域名相同,但校验文件只需放一次。
与微信开放平台账号的关联
如果你把企业微信应用关联到了微信开放平台账号，那么开放平台里的“移动应用”也会对域名有要求，虽然企业微信支持二级域名，但开放平台移动应用的授权回调域名仍然只支持一级域名。这属于两套体系，别混着用。
企业微信域名配置的常见问题
微信二级域名绑定是否会影响企业微信的登录流程？
不会，企业微信的可信域名只影响网页授权和JS-SDK调用，登录流程走的是企业微信自身的OAuth体系，不受域名配置影响，用户在企业微信内打开应用时，如果能正常拉起授权页,说明域名配置已生效。
企业微信可信域名可以配置多个二级域名吗？
可以，单个自建应用最多支持5个可信域名，你可以把 oa.example.com、hr.example.com、finance.example.com 都加进去，每个域名都需要单独下载校验文件并放置到对应根目录。如果域名数量超过5个，建议通过企业微信服务商接口做代开发，可突破数量限制，但需要走服务商认证流程,周期较长。
配置完成后修改了二级域名的解析地址，需要重新验证吗？
需要，只要域名的解析记录发生变化，比如换了服务器IP，微信后台会重新发起安全检测，多数情况下，系统会在24小时内自动重新校验，但保险起见，建议主动进入后台点击“重新验证”按钮，如果校验失败，应用会暂停网页授权服务,用户访问应用时直接报错。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/738857.html
