企业微信PC端扫码登录失败，提示“二维码已失效”如何解决？

Question

企业微信PC端扫码登录时提示“二维码已失效”，常见原因有三：一是二维码生成后超时（默认有效期2分钟），未及时扫描；二是手机端企业微信版本过低或未开启“扫码登录”权限（需在「我 → 设置 → 隐私 → 扫码登录」中开启）；三是网络异常导致扫码请求未成功回调，或PC端时间与服务器偏差过大（建议校准系统时间）。此外，同一账号在多设备频繁切换、企业后台限制登录设备数，或管理员关闭了“允许通过二维码登录”策略（管理后台→「我的企业 → 安全与保密 → 登录设置」），也会触发该提示。建议按序排查：刷新PC端二维码、更新手机App至最新版、检查网络连通性及时间同步，并确认企业管理员未禁用相关功能。如仍失败，可尝试切换DNS（如改为114.114.114.114）或关闭代理/防火墙临时测试。

Answer 1

```html

一、现象层：表征与触发条件

用户在企业微信PC客户端点击“扫码登录”后，界面持续显示“二维码已失效”，且无法完成身份校验。该提示并非瞬时错误，而是在二维码生成后某一时刻（通常为120秒内）由前端主动渲染或服务端回调失败后触发的UI反馈。关键特征包括：二维码图像未灰化但状态不可用、手机端无任何扫码响应、控制台无显式报错（需开发者工具捕获Network请求）。

二、链路层：端到端认证流程解析

企业微信扫码登录本质是基于OAuth 2.0变体的三方授权协议，涉及四端协同：

1. PC客户端向https://login.work.weixin.qq.com/qrcode/xxxxx请求临时ticket
2. 服务端返回含有效期（expire_seconds=120）及唯一uuid的二维码URL
3. 手机端扫描后，通过本地设备指纹+企业微信会话凭证向/login/check发起带签名的POST回调
4. PC端轮询/login/status?uuid=xxx获取结果，超时或返回status=expired即渲染“已失效”

三、根因层：多维故障树（Mermaid流程图）

graph TD
  A[“二维码已失效”] --> B{时效性问题}
  A --> C{权限与配置问题}
  A --> D{网络与环境问题}
  A --> E{策略级管控}
  B --> B1[“生成后＞120s未扫描”]
  B --> B2[“PC端系统时间偏差＞5min”]
  C --> C1[“手机端未开启「扫码登录」权限”]
  C --> C2[“企业微信App版本＜4.1.22（2023年Q3起强制要求）”]
  D --> D1[“DNS污染导致check/status域名解析失败”]
  D --> D2[“代理/防火墙拦截WebSocket长轮询或HTTPS POST回调”]
  E --> E1[“管理后台禁用「允许二维码登录」”]
  E --> E2[“设备数策略限制：同一账号最多5台活跃设备”]
  E --> E3[“安全策略启用「仅允许指定IP段扫码」”]

四、验证层：结构化排查清单

序号	检查项	验证命令/路径	预期结果
1	PC系统时间偏差	w32tm /query /status（Windows）	偏差≤30秒
2	手机端扫码开关	我 → 设置 → 隐私 → 扫码登录	开关为开启状态
3	企业微信App版本	设置 → 关于企业微信	≥v4.1.28（2024最新LTS）
4	DNS解析有效性	nslookup login.work.weixin.qq.com 114.114.114.114	返回CNAME至work-wechat-login.xiaoice.com
5	管理后台策略	管理后台 → 我的企业 → 安全与保密 → 登录设置	「允许通过二维码登录」为启用状态

五、进阶层：网络诊断与协议级干预

当基础排查无效时，需深入协议栈：

• 使用Wireshark抓包过滤http.host contains "work.weixin.qq.com"，确认PC端是否收到HTTP/2 200但status字段为"expired"
• 检查Chrome DevTools → Network → XHR中/qrcode/请求的Set-Cookie头是否包含wwrt=（防重放令牌），缺失表明CDN缓存异常
• 执行curl -v "https://login.work.weixin.qq.com/qrcode/new?device_id=xxx"模拟生成，观察X-RateLimit-Remaining响应头是否为0（触发限流熔断）

六、架构层：企业级部署影响因子

大型组织常因以下架构设计引发连锁失效：

• 统一身份网关劫持：若企业部署了CAS/SAML网关，可能拦截login.work.weixin.qq.com的302跳转，导致ticket无法注入
• 零信任网络策略：ZTNA策略中未将*.weixin.qq.com加入信任域名白名单，使扫码回调被SDP代理拒绝
• CDN节点异常：华南节点（gz）缓存了过期的ticket校验逻辑，而华北节点（bj）正常，可通过curl -H "Host: login.work.weixin.qq.com" http://119.29.29.29直连DNS验证

```