微信小程序手机号解密偶发失败：我用会话绑定、code 去重和失败重取稳住授权

这个问题最烦人的地方是：不是每次都失败。用户点获取手机号，大多数时候能进，偶尔就卡住。后端日志里能看到 -41003，前端表现为授权后拿不到手机号。最初我以为是用户网络差，后来把链路拆开才发现，手机号加密数据并不是独立参数，它必须和当前会话的 session_key 对上。只要中间有人偷偷换了会话，解密就会变成碰运气。具体错误码含义以官方文档为准，但我优先检查会话一致性。

先把 -41003 当成“会话不一致”信号

我们页面是 Vue3 + Nuxt 做的，授权按钮点击后会走 wx.login 拿 code，再把 code、encryptedData、iv 一起给 Node 后端。问题出在时序：用户快速点击、组件重复初始化、接口超时重试，都可能触发多次 wx.login。微信 code 是一次性的，后端如果先后拿两个 code 去换 session_key，后写入的会话可能不是加密数据对应的那一份。于是同一份 encryptedData 用错 session_key 解，自然失败。

用 code 去重，避免并发把 session_key 换乱

• 前端只允许一次授权流程进行中，按钮点击后禁用，避免并发拉起。
• 后端用 Redis 记录 code 消费状态，重复 code 不再换 session_key，而是复用当前会话票据。
• session_key 只按用户或临时 token 绑定，解密时从同一会话取，不从请求参数裸传。

失败后重取，而不是原地硬解

解密失败后，我不会让前端拿旧 encryptedData 反复重试，因为旧数据对应的会话可能已经失效。正确做法是提示用户重新点击，重新获取手机号授权，同时重新 wx.login，让 code、加密数据、session_key 重新生成一套。为了避免死循环，我会限制最多重试两次，并把错误码、openId 摘要、时间戳写进日志，方便排查是会话串了还是数据本身异常。

const consumed = await redis.set(`wxlogin:${code}`, '1', 'EX', 300, 'NX');
if (!consumed) return reuseSession(userId);
const { session_key: sessionKey, openid } = await code2Session(code);
await db.collection('wx_sessions').updateOne(
  { userId },
  { $set: { sessionKey, openid, updatedAt: Date.now() } },
  { upsert: true }
);
const phone = decryptPhone(sessionKey, encryptedData, iv);
if (!phone) throw new Error('PHONE_DECRYPT_RETRY');

这类偶发 BUG，靠加日志只能看见结果，靠链路约束才能减少发生。我的处理原则很简单：code 必须去重，session_key 必须和加密数据同会话，失败后允许重取但不允许旧数据硬解。上线后，-41003 从随机报警变成了可定位、可恢复的小异常。遇到微信授权问题，别急着怀疑加密算法，先把会话一致性稳住。