js接口安全域名怎么设置

微信公众平台的接口后台里，那个“JS接口安全域名”输入框，安全位置在“开发”->“基本配置”里。域名很多人第一次填它，设置直接填了网址带https，接口或者填了带路径的安全完整地址，结果保存报错。域名这个框只接受裸域名，设置格式类似 example.com，接口不要带协议头，安全也不要带目录。域名当初我帮一个朋友配公众号，设置他填了 https://www.example.com/index.html，接口保存后系统提示“域名格式错误”，安全他愣了半天没想明白哪里错。域名其实规则就这么简单——只认主域，不认文件。

设置这个域名的目的是什么？说直白点，就是告诉微信服务器：你网页里调用的JSSDK接口，只有在这个域名下才被允许。你不在这个白名单里，前端调用 wx.config 时，大概率报 invalid signature 或者 config:fail。这跟服务器端的IP白名单不是一个概念，别搞混了。IP白名单管的是后端API调用，JS安全域名管的是前端浏览器里的签名校验——两码事。

实际操作中，有个坑很多人踩：你可能有多个二级域名，比如 m.example.com 是移动端H5，admin.example.com 是管理后台，两个页面都要用微信分享或支付。这时候你只能填一个域名？不，微信允许填多个，但每个域名必须是独立的完整域名，不能拿 example.com 去覆盖所有子域。你得把 m.example.com 和 admin.example.com 分别加进去。注意，这里填的是精确匹配，不支持通配符 *。有人试过填 .example.com 想省事，结果照样报错。

还有个细节容易被忽略：修改域名后，不是立刻生效。微信那边有缓存，通常等个几分钟到十几分钟。我遇到过最夸张的一次，改完等了将近半小时，前端才正常。所以别刚保存就去测，可以先喝口水，或者直接去调接口看返回码。另外，如果你用了本地调试，比如 localhost 或 127.0.0.1，那这个域名设置帮不了你——微信官方明确不支持本地调试JSSDK。你非要在本地测，得用内网穿透工具弄个公网域名，再把那个临时域名填进去，测完再改回来。麻烦是麻烦，但没别的办法。

填错域名最常见的报错是 invalid url domain，这时候别急着改代码，先回后台看一眼填的域名是不是跟当前页面地址完全一致。注意大小写——虽然域名本身不区分大小写，但微信那边校验时可能对大小写敏感，保险起见全用小写。还有一点，如果你网页用了重定向，比如从 http 跳到 https，那最终落地页的域名必须跟填的一致。有人设置了 example.com，但页面实际跑在 www.example.com 下，这俩在微信看来不是同一个东西。所以你要么统一用带 www 的，要么统一不带，别混。

最后说个真实案例。之前帮一个电商客户排查分享功能失效问题，他们后台填的是 shop.example.com，但前端页面是从 www.example.com/shop 这个路径访问的。微信拿到的当前域名是 www.example.com，跟白名单里的 shop.example.com 对不上，签名自然失败。后来把域名改成 www.example.com，问题立刻解决。就这一个小改动，折腾了他们两天。说到底，这设置本身不复杂，复杂的是你搞不清自己页面到底跑在哪个域名下。用浏览器打开页面，地址栏里是什么，后台就填什么，别想当然。

很赞哦!（88）