整合 WeChat WiFi 登入：透過社群 Captive Portals 捕捉互動
本指南詳細介紹如何將 WeChat WiFi 驗證整合至企業級 captive portals 中，涵蓋 OAuth 2.0 架構、RADIUS 整合，以及在 Cisco Meraki、HPE Aruba 和 Juniper Mist 硬體上的逐步部署。它為 IT 經理和網路架構師提供了一個實用的框架，在從 WeChat 的 13 億用戶中獲取第一方數據的同時，透過關注官方帳號和登入後重定向來提升互動率。
收聽此指南
查看播客逐字稿
執行摘要
整合微信 WiFi 登入能將標準的 Captive Portal 轉化為針對服務中國遊客及廣大微信生態系統之場所的策略性第一方數據引擎。對於 IT 經理和網路架構師而言，透過 OAuth 2.0 和 RADIUS 部署微信登入，需要在流暢的訪客存取與安全、合規的數據收集之間取得平衡。本指南詳細介紹了在包括 Cisco Meraki、HPE Aruba、Ruckus 和 Juniper Mist 在內的企業網路硬體上部署微信 WiFi 驗證的技術架構、實作步驟和安全考量。它展示了 Purple 的 Guest WiFi 平台如何調解 OAuth 流程、將個人檔案數據對應到您的 CRM，並透過登入後重新導向至您的微信官方帳號來推動互動。
微信擁有超過 13 億的月活躍用戶，根據世界旅遊組織的數據，2023 年中國遊客在國際上的消費估計達 2550 億美元。對於飯店、奢華零售、機場和會議中心而言，提供微信 WiFi 登入是直接觸及該客群的管道。Purple 在全球 80,000 多個實體場所運作，並在 2024 年記錄了 4.4 億次登入，這讓我們對實際部署中的成功與失敗經驗擁有直接的洞察。
技術深度解析
微信 WiFi 驗證的工作原理
微信 WiFi 驗證以直接整合至 Captive Portal 體驗中的 OAuth 2.0 流程取代了手動表單輸入。該順序涉及五個元件，並依定義的順序進行通訊：
- 訪客的裝置連線至場所 SSID。
- 無線基地台攔截未經驗證的 HTTP 流量，並將裝置重新導向至 Purple 託管的 Captive Portal。
- 使用者在歡迎頁面上選擇微信登入選項。
- Portal 向微信開放平台 API 發起 OAuth 2.0 授權請求，並傳遞場所的 AppID 和重新導向 URI。
- 裝置上開啟微信應用程式，並提示使用者授權連線。
- 微信將授權碼傳回至重新導向 URI。
- Purple 平台以該授權碼交換存取權杖（access token），並檢索使用者的個人檔案數據：OpenID、unionid、暱稱、頭像和註冊位置。
- Purple 向 RADIUS 伺服器發送訊號，向無線基地台發送 Access-Accept 訊息。
- 無線基地台授予網際網路存取權限，並套用已設定的策略（VLAN 分配、頻寬限制、工作階段逾時）。
- Portal 將使用者重新導向至場所的微信官方帳號或特定的到達網頁。
帳號類型要求
這是 WeChat WiFi 部署中最常見的單一故障點。您必須使用已驗證的 WeChat 服務號 (服务号)。訂閱號 (订阅号) 並未開放 Captive Portal 整合所需的 OAuth 2.0 網頁授權 API。下表總結了關鍵差異：
| 功能 | 服務號 (服务号) | 訂閱號 (订阅号) |
|---|---|---|
| OAuth 2.0 WiFi 登入 | 是 | 否 |
| API 存取權限層級 | 完整 | 受限 |
| 每月推送訊息數 | 4 | 30 |
| 顯示為聯絡人 | 是 | 收納於資料夾中 |
| WeChat Pay 整合 | 是 | 否 |
| 需要驗證 | 是 | 是 |
取得已驗證的服務號需要中國營業執照，或透過騰訊進行特殊的海外申請流程，這需要 99 美元的年度驗證費用以及二至四週的審核期。
圍牆花園 (Walled Garden)：最關鍵的網路設定
圍牆花園 (也稱為預先驗證白名單) 定義了裝置在完成 Captive Portal 驗證之前可以存取哪些 IP 位址和網域。如果 WeChat API 網域不在圍牆花園中，裝置將無法啟動 OAuth 握手，導致登入無聲無息地失敗。
至少必須將以下網域加入白名單：
*.weixin.qq.com*.wechat.com*.wx.qq.comres.wx.qq.commp.weixin.qq.com- WeChat CDN IP 範圍 (請參閱騰訊發佈的 IP 範圍文件，因為這些範圍會定期變更)
在 Cisco Meraki 上，請於 Wireless > Access Control > Walled Garden 下進行設定。在 HPE Aruba 上，請使用 Captive Portal Profile 白名單。在 Juniper Mist 上，請設定 Guest Portal 允許的網域清單。
RADIUS 整合與策略執行
在此架構中，Purple 充當 RADIUS 代理伺服器。在 WeChat OAuth 交換成功後，Purple 會向場域的無線控制器傳送 RADIUS Access-Accept 訊息。Access-Accept 訊息可以攜帶標準 RADIUS 屬性以執行針對個別使用者的策略：
- 用於 VLAN 分配的
Tunnel-Type和Tunnel-Private-Group-ID(將訪客流量與企業網路隔離，符合 IEEE 802.1X 分段最佳實踐) - 用於在定義時間後自動斷開連線的
Session-Timeout - 用於頻寬限制的
WISPr-Bandwidth-Max-Up和WISPr-Bandwidth-Max-Down
此架構與硬體無關。Purple 可與 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 整合，無需變更韌體或增設本機伺服器。
實作指南
步驟 1：設定 WeChat 開發者帳號
登入微信公眾平台 mp.weixin.qq.com。導覽至 設置與開發 > 安全中心 > 網頁授權域名。啟用 OAuth 2.0 網頁授權，並將您的 Captive Portal 網域新增為授權回呼網域（例如 wifi.yourvenue.com）。微信僅會將授權碼傳回至此處註冊的網域，若不匹配將導致無聲失敗。
從 設置與開發 > 基本配置 面板中取得您的 AppID 與 AppSecret。請安全地儲存 AppSecret，將其視為私鑰妥善保管。
步驟 2：設定 Purple
在 Purple 平台中，導覽至 Authentication > Social Login 並啟用微信。輸入 AppID 與 AppSecret。使用 Purple 的拖放式編輯器設計 Captive Portal 登入頁面。將微信登入按鈕設為首頁上半部（above the fold）的主要行動呼籲（CTA）。
設定驗證後的重新導向。選項包括：
- 該場域的微信公眾號關注頁面（推薦用於提升互動）
- 託管於微信小程序內的促銷活動落地頁
- 使用 Purple WiFi Analytics 工具的問卷調查頁面
- 會員計劃註冊頁面
在 Authentication > Return Visitor Settings 下啟用 MAC 位址快取。將快取保留時間設定為符合您典型造訪頻率的長度（零售業為 7 天，餐旅業為 30 天）。再次造訪的訪客將會自動連線，無需再次看到 Portal 頁面，而他們的造訪記錄仍會記錄在分析儀表板中。
步驟 3：設定網路硬體
在您的無線控制器上，將訪客 SSID 設定為使用外部 Captive Portal。輸入 Purple Portal 的 URL 作為登入頁面 URL。將微信網域新增至圍牆花園（Walled Garden）。設定由 Purple 提供的 RADIUS 伺服器 IP 位址與共用金鑰。
在正式上線前，使用行動裝置測試完整流程。具體步驟：
- 連線至訪客 SSID。
- 確認 Captive Portal 在 Captive Portal Assistant (CPA) 迷你瀏覽器中成功載入。
- 點擊微信登入按鈕，並確認微信 App 成功開啟。
- 授權連線並確認已授予網際網路存取權限。
- 確認登入後的重新導向正確觸發。
最佳實踐
最佳化圍牆花園（Walled Garden）。 設定錯誤的圍牆花園是實際運作中微信登入失敗的首要原因。請在發布前進行測試，並在任何網路韌體更新後重新測試，因為某些控制器在升級過程中會重設白名單項目。
帶動登入後的互動。 驗證完成後的瞬間是訪客 WiFi 體驗中專注度最高的時刻。將使用者重新導向至您的公眾號關注頁面。關注您帳號的訪客在離開場域後，您仍能透過推播通知與其保持聯繫。 為回訪訪客實施 MAC 快取。 每次訪問都要求重複驗證會降低體驗。MAC 快取消除了回訪顧客的摩擦，同時仍能記錄訪問以進行分析。請參閱 Purple 的 WiFi Analytics 以獲取停留時間和回訪報告。
應用數據最小化。 僅請求您的 CRM 實際使用的微信個人資料欄位。請求不必要的權限會增加授權放棄率，並增加 GDPR 合規性的複雜性。對於大多數場所，OpenID、暱稱和頭像已足夠進行個人化。
透過 VLAN 區隔訪客流量。 將微信驗證的訪客分配到專用的 VLAN，與您的企業或 POS 網路隔離。這符合 PCI DSS 網路區隔要求，並限制了任何訪客端安全事件的波及範圍。有關 WiFi 安全架構的完整處理，請參閱我們的 企業 WiFi 安全指南 。
遵守 GDPR 和 PIPL。 在使用者啟動微信 OAuth 流程之前，在 Splash Page 上顯示清晰的隱私權聲明。該聲明必須識別數據控制者、列出從微信收集的數據類別、說明處理的法律依據，並提供完整隱私權政策的連結。如需詳細指導，請參閱我們的 WiFi GDPR 合規指南 。
疑難排解與風險緩釋
OAuth 重新導向不比對
如果微信開發者主控台中註冊的回呼 URL 與 Purple 用於重新導向的 URL 不完全比對，微信將傳回錯誤代碼並封鎖授權。檢查協定不比對（HTTP 與 HTTPS）、結尾斜線和子網域差異。註冊的網域必須是完全比對的字串。
Captive Portal 助理 (CPA) 干擾
行動作業系統使用 CPA 微型瀏覽器來偵測和處理 Captive Portal 網路。這些微型瀏覽器通常缺乏開啟原生應用程式的能力，這會破壞 OAuth 流程中的微信應用程式呼叫。緩釋方案包括：
- 實施 JavaScript 重新導向，偵測 CPA 環境並在啟動 OAuth 流程之前開啟完整的系統瀏覽器。
- 在 Splash Page 上顯示清晰的說明，告知使用者如果微信按鈕沒有回應，請在完整的瀏覽器中開啟該頁面。
Token 過期和過期工作階段
微信存取 Token 會在兩小時後過期。如果您的平台未重新整理 Token，使用者的 CRM 記錄將在初始工作階段後停止更新。設定 Purple 的 Token 重新整理設定，以在訪客停留期間維持作用中的 Token。
地緣政治與監管風險
WeChat 受制於中國政府的監管與騰訊的平台政策。API 存取權限可能會在無預警的情況下被暫停或修改。為了降低此風險，請確保您的 Captive Portal 支援多種驗證方式（電子郵件、SMS、其他社群媒體登入），如此一來，即使 WeChat API 發生故障，也不會導致您的整個顧客 WiFi 離線。Purple 的多管道入口網頁原生支援這種備援架構。
投資報酬率與商業影響
部署 WeChat WiFi 驗證可在三個維度上帶來可衡量的回報。
提高數據收集率。 社群媒體登入可減少填寫表單的阻力。使用 Purple 社群媒體登入選項的場所報告的驗證完成率，比僅限電子郵件的同等入口網頁高出 20-30%（Purple 內部數據，2024 年）。在一個每天處理 500 個顧客 WiFi 連線的場所，25% 的提升意味著每天可多收集 125 個已驗證的個人檔案。
官方帳號粉絲增長。 將已驗證的使用者重導向至官方帳號關注頁面，可將短暫的線下人流轉化為可觸及的數位受眾。一家每天有 200 名 WeChat 驗證顧客的飯店，若達到 40% 的關注率，每天就能增加 80 名新的官方帳號粉絲——這些粉絲可以接收有關再次光臨優惠、會員計劃更新和季節性促銷的精準推送通知。
營運可視性。 Purple 的 WiFi Analytics 平台可將 WeChat 驗證的階段作業對應至停留時間、造訪頻率和區域級移動數據。這為場所營運總監提供了優化人員配置、佈局和促銷時機的數據。對於 餐旅 場所，此數據可直接與 PMS 系統整合，以豐富顧客個人檔案。
對於 零售 環境，WeChat 驗證與 Purple 分析平台的結合，在實體店面情境中複製了電子商務的豐富數據——隨著第三方 Cookie 的淘汰降低了數位再行銷的成效，這項功能變得越來越有價值。
如需相關指南，請參閱我們的 WiFi GDPR 合規指南 和我們的 企業級 WiFi 安全指南 。若要了解 Purple 如何在特定垂直行業中部署，請參閱我們針對 餐旅 、 零售 、 醫療保健 和 交通運輸 的頁面。
關鍵定義
OAuth 2.0
一種業界標準的授權協定，允許使用者授予第三方應用程式存取其在另一服務上的帳戶資料的權限，而無需分享其密碼。在 WeChat WiFi 驗證中，Captive Portal 是第三方應用程式，而 WeChat 是身分識別提供者。
所有社群 WiFi 登入的底層機制。IT 團隊在 WeChat 開發者主控台和 Purple 平台中設定 AppID、AppSecret 和重新導向 URI 時會遇到此機制。
Captive portal
一個攔截裝置網路流量的網頁，要求使用者在獲得網際網路存取權限之前進行驗證或接受條款。它的運作方式是將所有 HTTP 請求重新導向至 Portal URL，直到驗證完成為止。
WeChat WiFi 登入系統中面向使用者的元件。Purple 託管並管理 Captive Portal，將其作為雲端覆蓋層部署在場域現有的硬體之上。
Walled garden
一個驗證前的 IP 地址和網域白名單，裝置在完成 Captive Portal 登入之前可以存取這些地址和網域。這是允許裝置在 OAuth 流程中與 WeChat 驗證伺服器進行通訊所必需的。
WeChat WiFi 部署中最常被錯誤設定的元素。必須在無線控制器的 SSID 層級進行設定。
RADIUS
遠端使用者撥入驗證服務（Remote Authentication Dial-In User Service）。一種網路協定，為網路存取提供集中式的驗證、授權和計費。在 WeChat OAuth 交換成功後，Purple 會向存取點（Access Point）發送 RADIUS Access-Accept 訊息以授予網際網路存取權限。
將 Purple 身分識別平台連接到場域網路硬體的協定。IT 團隊在無線控制器中設定 RADIUS 伺服器 IP 地址和共用金鑰。
WeChat Service Account (服务号)
專為企業設計的 WeChat 公眾帳號類別，提供完整的 API 存取權限，包括 OAuth 2.0 網頁授權。在用戶的聊天列表中顯示為聯絡人。需要中國大陸企業註冊或海外認證。
WeChat WiFi 登入強制要求的帳戶類型。訂閱號（Subscription accounts）無法用於此目的。
OpenID
WeChat 為特定公眾帳號的特定使用者分配的唯一識別碼。兩個不同的公眾帳號對於同一個使用者會收到不同的 OpenID。
CRM 用於在不同的 WiFi 工作階段中識別和追蹤個別使用者的主要金鑰。
Unionid
WeChat 為在同一個 WeChat 開放平台帳戶下註冊的所有公眾帳號和小程式中的特定使用者分配的唯一識別碼。允許跨產品的使用者識別。
適用於擁有多個 WeChat 接觸點（例如，同時擁有 WiFi Portal 和購物小程式的零售連鎖店）並希望在所有互動中整合使用者設定檔的品牌。
MAC address caching
一種網路功能，在首次驗證後儲存裝置的唯一硬體識別碼（MAC 地址），允許網路在隨後的連線中自動授予存取權限，而無需再次顯示 Captive Portal。
用於改善回訪客的使用體驗。即使未顯示 Portal，Purple 也會記錄回訪以進行數據分析。
Captive Portal Assistant (CPA)
iOS 和 Android 在偵測到需要 Captive Portal 驗證的網路時自動啟動的微型瀏覽器。CPA 的功能有限，可能不支援 WeChat OAuth 流程所需的原生應用程式呼叫。
IT 團隊必須專門在 CPA 環境中測試 WeChat 登入流程，並實作 JavaScript 偵測，以便在必要時重新導向至完整的系統瀏覽器。
VLAN
虛擬區域網路（Virtual Local Area Network）。一種邏輯網路分割，可將流量與同一實體基礎架構上的其他分割隔離開來。用於將訪客 WiFi 流量與企業或 POS 網路分開。
Purple 傳回的 RADIUS 屬性可以將通過 WeChat 驗證的訪客分配到特定的 VLAN，從而滿足 PCI DSS 網路分割的要求。
範例
一家位於倫敦的奢華零售品牌希望向中國遊客提供無縫的 WiFi，同時增加其 WeChat 官方帳號的粉絲數。他們目前使用 Cisco Meraki 無線基地台和標準的電子郵件收集頁面。他們的 IT 團隊需要在重大農曆新年活動開始前的兩週內完成部署。
第一週：註冊並驗證 WeChat 服務號（若尚未建立；騰訊審核需二至四週，因此此步驟應提早開始 - 若未提早，可暫時使用經驗證的第三方中國實體作為過渡措施）。在 WeChat 開發者主控台中配置回呼網域，使其與 Purple 頁面 URL 相符。在 Purple 平台中啟用 WeChat 社群登入，輸入 AppID 和 AppSecret，並將 splash page 設計為以 WeChat 作為主要登入選項。配置驗證後重定向至該品牌的 WeChat 官方帳號關注頁面。第二週：在 Meraki 儀表板中，更新訪客 SSID 以指向 Purple 頁面 URL。將所有 WeChat API 網域新增至 Meraki 的 walled garden（路徑：Wireless > Access Control）。設定 RADIUS 伺服器詳細資訊。使用 iOS 和 Android 裝置進行端到端的完整流程測試。啟用 MAC 快取以進行 30 天回訪者識別。正式上線。
一個可容納 15,000 人的體育場正在舉辦一系列有大量中文觀眾參與的國際賽事。IT 總監報告指出，有 35% 的訪客在完成 WiFi 登入表單前就放棄了。該網路運行的是透過 Aruba Central 管理的 HPE Aruba 無線基地台。
部署 Purple 的 captive portal，並將 WeChat 作為主要的社群登入選項，同時提供電子郵件和簡訊備用方案。配置 Aruba Central 的 captive portal 設定檔以重定向至 Purple，並將 WeChat 網域新增至允許清單。在 splash page 上實作 JavaScript CPA 偵測指令碼，以強制將 OAuth 流程導入原生系統瀏覽器，繞過 Aruba CPA 微型瀏覽器。配置 RADIUS 屬性以將已驗證的球迷分配到專用的訪客 VLAN，與體育場的營運網路隔離。將工作階段逾時設定為四小時，以涵蓋典型的活動持續時間，而無需重新驗證。驗證後，將球迷重定向至託管活動節目表、即時比分和餐飲點餐服務的 WeChat 小程序。
練習題
Q1. 您場地的新 WeChat WiFi 登入失敗。訪客在 Splash Page 上點擊 WeChat 按鈕，但頁面在 WeChat 應用程式開啟之前逾時。Cisco Meraki 儀表板顯示 SSID 已上線，且 Purple Portal URL 設定正確。最可能的起因是什麼？您該如何解決？
提示：請考慮裝置在完成驗證之前具有哪些網路存取權限。
查看標準答案
Meraki SSID 上的 Walled Garden 設定錯誤。裝置在驗證前無法連線至 WeChat 的 API 網域，因此無法啟動 OAuth 握手。解決方法：導覽至 Meraki 儀表板中的 Wireless > Access Control，找到 Walled Garden 區段，並新增所需的 WeChat 網域，包括 .weixin.qq.com、.wechat.com 和 *.wx.qq.com。使用先前未連線至該 SSID 的裝置再次嘗試登入流程以進行測試。
Q2. 行銷總監希望使用他們現有的 WeChat 訂閱號（Subscription Account）來啟用 WiFi 登入，因為這允許他們每天向粉絲發佈文章。他們要求您設定此整合。您該如何回應？
提示：請檢視不同 WeChat 帳號類型的 API 存取權限級別。
查看標準答案
請告知他們訂閱號無法用於 WiFi 驗證。Captive Portal 整合所需的 OAuth 2.0 網頁授權 API 僅提供給已認證的服務號（Service Account）。他們需要註冊一個服務號。這需要中國營業執照或透過騰訊特殊流程進行的海外申請，通常需要二至四週，年費為 99 美元。訂閱號可保持啟用狀態以發佈內容；這兩種帳號類型用途不同，可以共存。
Q3. 在成功部署 WeChat WiFi 後，IT 團隊發現三週前已驗證的使用者雖然有連線到網路，但其更新的造訪數據已不再出現在 CRM 中。可能的原因是什麼？
提示：請考慮在 Purple 中設定的工作階段管理設定以及 MAC 快取保留期。
查看標準答案
MAC 快取保留期可能設定為短於三週的值（例如 14 天），因此返回的使用者透過 MAC 快取獲得存取權限，而未觸發新的驗證事件或 CRM 更新。或者，這些使用者的 WeChat 存取權杖（Access Token）已過期，且平台未進行重新整理。解決方法：在 Purple 的返回訪客設定中將 MAC 快取保留期延長至 30 天，並確保權杖重新整理設定已啟用。同時確認 Purple 已將 MAC 快取的造訪記錄為分析儀表板中的返回造訪事件，即使未顯示 Portal 頁面也是如此。
Q4. 您的場地同時在英國和中國大陸營運。您希望部署統一的 WeChat WiFi 驗證系統。在正式上線前，您必須處理哪些合規義務？
提示：這兩個地區適用兩種不同的隱私法規體系。
查看標準答案
您必須同時遵守 GDPR（適用於英國和歐盟使用者）以及中國的《個人信息保護法》（PIPL，適用於中國大陸使用者）。關鍵要求包括：在啟動 OAuth 流程前，在 Splash Page 上顯示清晰的隱私權聲明、識別資料控制者並列出從 WeChat 收集的資料類別、說明各法規體系下的處理法律依據（GDPR 下的合法利益或同意；PIPL 下的同意）、提供使用者撤回同意和要求刪除的機制，並確保在 WeChat 個人檔案資料跨境外傳輸時設有資料傳輸機制。請參閱 Purple 的 GDPR 合規指南並諮詢您的法律顧問，以瞭解特定司法管轄區的要求。
繼續閱讀本系列
如何在 Starlink 上設定 Captive Portal：偏遠地區與海事場所指南
本指南詳細介紹如何繞過 Starlink 原生硬體，並使用企業級路由設備整合雲端管理的 Captive Portal。您將學習如何克服 CGNAT 限制、強制執行 VLAN 隔離、管理衛星頻寬限制，並確保符合法規規範。
Captive Portal 最佳做法：針對高轉換率與合規性的設計
本技術指南為 IT 經理、網路架構師和場域營運總監提供了部署 Captive Portal 的完整藍圖，在網路安全與高用戶轉換率之間取得平衡。內容涵蓋從 VLAN 區隔和 RADIUS 驗證，到符合 GDPR 規範的同意書設計與驗證方法選擇的完整架構。結合 Purple 於 2024 年在 80,000 多個場域和 4.4 億次登入的營運經驗，每項建議均基於真實的部署數據。
如何優化 Captive Portals 以實現最大化網路安全與使用者轉換率
本指南為企業級場域優化 Captive Portals 提供完整的技術藍圖，涵蓋網路分段架構、身分驗證方法選擇、符合 GDPR 規範的同意書設計以及轉換率優化。本書專為飯店、連鎖零售、體育場館和公共部門機構的 IT 經理、網路架構師及 CTO 撰寫，協助其在網路安全與第一方數據收集之間取得平衡。Purple 在全球超過 80,000 個場域營運 Captive Portal 基礎設施，並在 2024 年處理了 4.4 億次登入，本指南所提供的框架皆源自於這些實務營運經驗。