微信后台要登记的配置（含名额账本）
接入这套中台，微信侧一共只需要配 8 项，而且是一次性的：以后再加站点，这些数字都不用动。
名额账本
| 配置项 | 总量 | 本站占用 | 建议值 | 改动限制 |
|---|---|---|---|---|
| 网页授权域名 | 认证服务号 2 个 | 1 | wx.onzx.cn |
每月最多改 5 次，需 https + ICP 备案 + 校验文件 |
| JS 接口安全域名 | 5 条 | 1（+ 站点自身页面按需） | wx.onzx.cn |
子域要逐个精确添加，新域名约 24 小时生效 |
| 业务域名 | 3 条 | 0 | 只有小程序 web-view 内嵌 H5 才需要 | 同上，需校验文件 |
| JSAPI 支付授权目录 | 每商户号 5 条 | 1 | https://wx.onzx.cn/cashier/ |
必须 https、以 / 结尾、大小写敏感；顶级域名目录只校验 host |
| 消息与事件推送 URL / Token | 只能 1 套 | 0（留给 edusoho） | 不接管。关注状态由中台定时轮询同步 | 改这个会让存量系统的关注回复、菜单事件全部失效 |
| 服务器 IP 白名单 | 多条 | +1 | 本机出口 IP（见微信账号页顶部） | 不加会报 40164，容易被误判成 AppSecret 错 |
| AppID 与商户号关联 | 一商户号 50 个 AppID | 按需 | 服务号、小程序各关联一次 | 申请单 7 天失效、绑定后不可解绑；异主体需签承诺函 |
| 自定义菜单 | 1 套 | 不占用 | 由存量系统维护，把各站点入口做成菜单链接指过来 | 中台不接管消息服务器，因此不代替对方配菜单 |
redirect_uri 的域名是否在授权域名列表里，
不校验发起页面在哪个域名。所以所有站点的授权都收敂到中台这一个 host，
2 个名额只花掉 1 个（另一个继续留给 www.123xl.cn），后面再接 N 个站点也不需要再改微信后台。
逐项操作路径
1) 网页授权域名（mp 后台）
- 先下载校验文件（
MP_verify_xxxxxxxx.txt）。 - 在微信账号 → 详情页上传该文件（中台会放进
public/根目录）。 - 用浏览器打开
https://wx.onzx.cn/MP_verify_xxxxxxxx.txt确认能看到全文（不能 302、不能返回 HTML）。 - mp 后台 → 设置与开发 → 账号设置 → 功能设置 → 网页授权域名，填
wx.onzx.cn（不带协议、不带路径）保存。
onzx.cn 的备案主体与公众号主体不同，就把入口域名换成主体一致的那个域名的子域
（跨云还要做"新增接入备案"）。这一项不确定时先别急着改，避免白烧修改次数。2) IP 白名单与 AppSecret（现在在微信开发者平台）
AppSecret、API 调用 IP 白名单、消息推送 URL 已迁到
developers.weixin.qq.com/platform（我的业务 → 服务号），不在 mp 后台的「基本配置」里。
网页授权域名、服务类目、模板消息仍在 mp 后台。
3) JS 接口安全域名
mp 后台 → 功能设置 → JS 接口安全域名，填 wx.onzx.cn。
如果站点自己的页面要用分享卡片，该页面 host 也要各占一条（最多 5 条）。
4) 支付授权目录（商户平台）
商户平台 → 产品中心 → 开发配置 → JSAPI 支付授权目录，加一条
https://wx.onzx.cn/cashier/。约 5 分钟生效。
5) 模板消息
- mp 后台 → 模板消息 → 从当前行业类目的模板库里挑模板（消费交易类、状态通知、签到提醒等）。
- 回到消息模板页点「从微信拉取我的模板」，一键生成事件映射。
- 不要改行业类目：每月只能改 1 次，且会删除原类目已申请的模板，会直接打伤存量系统。
6) 开放平台绑定（决定 unionid）
注册/登录微信开放平台 → 管理中心 → 公众号 → 绑定该服务号（需公众号管理员确认）。 绑定后中台才会开始返回 unionid，服务号 / 站点 / 小程序才能认出同一个人。这件事越早做越好，纯后台操作、不影响现有业务。
7) 微信支付产品开通
商户平台 → 产品中心 → 我的产品：确认 JSAPI 支付 已开通；需要 PC 扫码或微信外浏览器支付再单独开通 Native / H5。中台的 Native 场景其实走"带参数二维码 → 手机打开收银台"，通常不需要额外开通。
8) API 安全（证书与密钥）
商户平台 → 账户中心 → API 安全：API 证书（含 apiclient_key.pem，序列号从这里来）、
APIv3 密钥、微信支付公钥与公钥 ID（PUB_KEY_ID_…）。
私钥只上传到中台「支付通道 → 密钥文件」，落盘 storage/keys/wxpay/<id>/（0600），
不进数据库、不进代码仓库、不进聊天记录。
配置顺序建议（最少修改次数）
- 先确认备案主体与账号主体关系（决定入口域名用哪个）。
- 上传校验文件 → 配网页授权域名（1 次）。
- 加 IP 白名单 → 后台跑账号自检（40164/40125 归零）。
- 配 JS 接口安全域名（1 次）。
- 商户平台配支付授权目录（1 次）→ 通道自检 → 1 分钱实测。
- 绑开放平台（不限次数，随时可做）。
本页内容随代码一起版本化（V0.1.0）。发现文档与实际行为不一致，请当缺陷报告。