第三方平台登录
配置用第三方平台账号（企业微信、钉钉、飞书、GitHub、支付宝等）登录本系统。菜单路径：系统管理 → 系统配置 → 第三方平台。
平台清单由系统内置驱动，无需新增「平台」，只需为要用的平台填入凭据并启用。
登录方式与机制总览
登录页共有四类登录方式：账号密码、通行密钥（Passkey）、第三方平台登录、微信公众号扫码登录。前两类见系统安全配置，本文只讲后两类。
第三方平台登录内置 11 个平台，按回调链路形态分三类：
| 形态 | 平台 | 用户操作 | 回调链路 |
|---|---|---|---|
| 标准型（9 个） | 企业微信、钉钉、飞书、QQ、GitHub、Gitee、Google、微信开放平台、抖音 | 当前浏览器跳到平台授权页，授权后自动跳回 | 回调直接落回发起端（运营端 / 商户端），无需网关参与 |
| 跳转型（2 个） | 支付宝、微信公众号 | 同上；微信内浏览器打开时微信公众号自动发起授权 | 回调统一落支付网关域名的透传路径，再自动跳回发起端（原因见下方提示框） |
| 扫码型 | 微信公众号（PC / 非微信浏览器） | 弹出二维码，手机微信扫码、在手机上确认授权 | 手机经网关域名完成授权，PC 轮询票据自动登录（见下文专节） |
同一个「微信公众号」按打开环境自动分流：手机微信内打开 → 直接跳授权（跳转型）；PC 或其他浏览器 → 弹二维码扫码（扫码型）。
两步验证（2FA）对三方登录同样生效
平台开启 2FA 且用户已绑定认证器时，上述所有三方登录方式（含扫码登录）在授权完成后都会再要求输入动态码（或备用码）才进入系统；唯一豁免是通行密钥，它本身已完成「持有设备 + 用户验证」。
页面结构（五个页签）
| 页签 | 内容 |
|---|---|
| 三方平台登录配置 | 各平台登录的启用开关与 OAuth 凭据（卡片墙） |
| 应用内自动登录 | 在飞书 / 企业微信 / 钉钉内置浏览器打开时自动登录 |
| 支付宝应用配置 | 支付宝 OAuth 凭据（登录 + 支付通道认证共用） |
| 微信公众号配置 | 公众号凭据（网页授权登录 + 模板通知） |
| 抖音 H5 应用 | 抖音开放平台 H5 凭据 |
登录配置（卡片墙）
每个平台一张卡片，显示 Logo、名称与状态（已启用 / 已停用 / 未配置），点「配置」打开抽屉：
- 标准平台（企业微信、钉钉、飞书、QQ、GitHub、Gitee、Google 等）：填客户端 ID、客户端密钥；企业微信还需应用 ID；
- 跳转型平台（支付宝、微信公众号）：凭据在专属页签维护，抽屉内提供「前往配置凭据」直达；
- 标准平台抽屉内展示各平台的回调地址（登录回调与绑定回调，运营端 / 商户端各一组），复制到第三方平台的后台做授权配置；
- 跳转型平台抽屉内展示开放平台登记指引：登录与绑定回调统一经支付网关域名透传跳回各端，开放平台只需登记网关域名相关信息（支付宝登记「授权回调地址」，填带协议的网关完整地址（如
https://gw.example.com）并在同一页面开启域名级校验；微信公众号登记「网页授权域名」，填不带协议的纯域名）。
先配端点再拿回调
回调地址由平台配置的端点地址拼出，端点没配时抽屉会提示，先去补端点配置。跳转型平台额外要求配置支付网关前端地址（回调透传的入口）。
跳转型平台为何走网关透传
支付宝的授权回调地址与支付认证共用同一应用（同一 AppId），回调名额只有一份：登录回调若直接用运营端 / 商户端自己的域名，会与支付回调互相顶替（启用登录后支付认证失败）。因此跳转型平台的登录与绑定回调统一落在支付网关域名的透传路径，由网关页自动跳回对应端，登录与支付互不影响。
密钥类字段保存时只提交发生变化的部分，未改动的密钥不会被覆盖。
平台级凭据
| 页签 | 字段 | 服务于 |
|---|---|---|
| 支付宝应用 | AppId、鉴权方式（公钥 / 证书）、私钥与公钥或三张证书 | 三方登录的支付宝授权 + 支付调试中的支付宝 H5 认证 |
| 微信公众号 | 公众号 AppId、AppSecret | 公众号网页授权登录 + 通知中心模板消息 |
| 抖音 H5 | Client Key、Client Secret | H5 场景授权（与三方登录里的「抖音」是两套独立凭据） |
公众号扫码登录与扫码绑定
微信公众号的网页授权只能在微信内浏览器完成，PC 上发起不了。因此 PC 上点「微信公众号」不是跳转授权，而是弹二维码、手机扫码的跨设备流程（登录与绑定同款机制）。二维码 5 分钟有效，过期可在弹窗内刷新。
扫码登录
- 登录页点「微信公众号」→ 弹出二维码；
- 手机微信扫码，手机上出现确认页，点「确认」后跳微信公众号授权（点「取消」则本次作废，PC 弹窗提示已取消）；
- 授权完成后 PC 弹窗自动登录。扫码成功到授权完成之间，弹窗会显示「已扫码、等待手机操作」的中间状态。
- 未绑定的微信号不会自动注册账号：手机端会提示先用账号密码登录，再到个人中心绑定微信，防止陌生人扫别人的二维码直接建号；
- 开启 2FA 的用户，授权完成后会在 PC 弹窗内接着输入动态码。
扫码绑定
个人中心 → 三方账号绑定 → 点「微信公众号」，同样弹二维码。手机扫码后的确认页会显示即将绑定的账号（脱敏展示），核对是自己的账号再确认，防止把微信绑到别人的账号上；确认授权后 PC 端自动完成绑定。
扫码安全
登录二维码等同于一次待确认的登录，只扫自己发起的二维码；手机确认页展示的操作内容与目标账号，是核对「这一码到底在做什么」的唯一机会。
整条扫码链路的页面落在支付网关域名（复用公众号网页授权域名，公众号后台无需为新流程额外登记），页面构成见支付网关 - 认证与中转。
应用内自动登录
用户在飞书 / 企业微信 / 钉钉客户端内置浏览器里打开运营端或商户端时，按 UA 自动匹配已启用平台发起 OAuth 登录：
- 按端（运营端 / 商户端）分别开关，各选至少一个自动登录平台；
- 候选平台必须是「登录配置里已启用」的飞书 / 企微 / 钉钉；
- 用户须先绑定过该平台账号，未绑定的会静默回到账密登录页；钉钉首次授权需确认一次。
相关链接
- 个人中心：用户侧绑定 / 解绑三方账号（微信公众号为扫码绑定）
- 支付平台配置：端点地址（回调地址的前置）
- 支付网关 - 认证与中转：扫码登录 / 绑定与透传在网关侧的页面
- 开发调试 - 认证调试：OAuth 链路验证