微信公众号安全域名如何正确配置？

Question

在配置微信公众号安全域名时，常见问题为：**为何已正确填写JS接口安全域名但仍出现“invalid url domain”错误？** 该问题通常源于未完全遵循微信校验机制。首先，需确保公众号绑定的服务器域名已通过ICP备案且能公网访问；其次，下载的验证文件必须放置在域名根目录下，并可通过HTTP/HTTPS直接访问（如：https://yourdomain.com/MP_verify_xxx.txt）。此外，域名配置中不得携带路径或协议头，仅填写主域名即可。部分开发者忽略服务器强制跳转（如HTTP跳HTTPS），导致验证文件无法被微信服务器正常抓取，也会引发此错误。最后，修改域名后需重新发布生效，且每个公众号仅支持配置一个JS接口安全域名。

Answer 1

1. 问题背景与常见现象

在开发微信公众号H5页面并集成JS-SDK时，开发者常遇到“invalid url domain”错误提示。尽管已在公众平台正确填写了JS接口安全域名，且确认域名无拼写错误，但调用config接口仍失败。该问题直接影响微信分享、拍照、定位等核心功能的实现。

从表象看，似乎是配置未生效；但从底层机制分析，这往往是由于微信服务器无法完成对域名所有权的校验所致。微信采用“文件验证法”确认域名归属权——即要求将指定的MP_verify_*.txt文件部署至目标域名根目录，并通过HTTP/HTTPS可访问。

2. 校验机制深度解析

微信后台在保存JS接口安全域名后，会主动发起一次GET请求，尝试抓取如下格式的验证文件：

https://yourdomain.com/MP_verify_xxxxxxxxxxxxx.txt

此过程不依赖浏览器缓存或CDN节点，而是由微信服务器直接访问源站。若返回状态码非200、内容不符或路径不可达，则判定校验失败，进而导致后续JS-SDK调用报错“invalid url domain”。

值得注意的是，微信校验使用的是标准HTTP客户端行为，不会执行JavaScript重定向，也不支持meta refresh跳转。因此任何非301/302的间接跳转都可能导致验证失败。

2.1 域名校验流程图

graph TD A[填写JS接口安全域名] --> B{微信发起GET请求} B --> C[检查HTTP响应状态码] C -->|200 OK| D[读取文件内容匹配] C -->|非200| E[校验失败 → invalid url domain] D -->|内容一致| F[域名验证成功] D -->|内容不一致| E

3. 常见错误场景与排查清单

• 域名未备案或处于审核中（国内服务器强制要求ICP备案）
• 验证文件放置于子目录而非根目录（如：/static/MP_verify_xxx.txt）
• 服务器配置了HTTP到HTTPS的强制跳转，但未确保验证文件在HTTPS下可访问
• 使用反向代理（Nginx/Apache）时，rewrite规则误拦截了静态文件请求
• CDN缓存策略未刷新，旧版本配置仍在生效
• 填写域名包含协议头（如：https://example.com）或路径（如：example.com/api）
• 修改后未点击“保存”或“发布”，配置未提交至微信系统
• 公众号类型限制：部分订阅号不支持JS-SDK完整权限
• DNS解析异常或SSL证书链不完整导致HTTPS握手失败
• 服务器防火墙或WAF屏蔽了微信爬虫User-Agent

4. 解决方案与最佳实践

问题维度	检测方法	修复建议
网络可达性	curl -I http://yourdomain.com/MP_verify_xxx.txt	确保HTTP/HTTPS均可访问，优先开放HTTP端口用于校验
文件位置	浏览器直接输入完整URL访问	必须位于Web服务器根目录（DocumentRoot）
跳转逻辑	禁用临时跳转测试	校验期间关闭HTTP→HTTPS自动跳转
配置格式	对比公众平台输入框实际值	仅填写纯净域名，如：example.com
发布状态	查看公众平台是否显示“已生效”	保存后等待1-3分钟并刷新页面确认

5. 高级调试技巧

对于复杂架构环境（如微服务网关、Kubernetes Ingress），需特别注意路由规则是否覆盖了根路径的静态资源请求。可通过以下命令模拟微信抓取行为：

# 模拟微信服务器抓取验证文件
curl -v -A "Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0)" \
http://yourdomain.com/MP_verify_xxxxxxxxxxxxx.txt

同时建议开启Web服务器访问日志，过滤MP_verify相关请求，观察是否存在403、404或被WAF拦截的情况。此外，企业级应用应建立自动化校验脚本，在CI/CD流程中集成域名可用性检测。