很多开发者在接入支付宝小程序时，卡在“获取授权码”这一步。你可能会发现，文档里写的是“调用my.getAuthCode”，但实际跑起来要么报错、要么拿到的code无法换token。这背后的关键，往往不是代码写错了，而是对支付宝的授权体系理解有偏差——它和微信的授权逻辑有本质区别。

我们先拆一个真实场景：假设你在做一个“一键登录”功能，用户点击按钮后，你想拿到他的手机号。在微信里，你直接调wx.login拿code，再调接口换openId和手机号。但在支付宝里，my.getAuthCode返回的code，本身并不包含用户手机号，它只是一个“临时身份凭证”。你需要拿着这个code，配合小程序的appId和密钥，去支付宝服务端调接口换access_token，再通过access_token获取用户信息。拿不到手机号，就是因为跳过了“换token”这一步，直接用code去查用户信息。

另一个常见坑是：授权码的有效期只有5分钟，且只能使用一次。如果你在开发环境里反复调试，可能第一次成功，第二次就因为code已过期而报错。我习惯的做法是：每次调用前，先打印一下当前时间戳和code的生成时间，确认是否在有效窗口内。

现在讲具体操作步骤。假设你已经有了一个小程序项目，在页面的.js文件中，你需要先确保用户已经登录。支付宝小程序的授权码获取，并不需要用户主动点击授权按钮——你可以直接调my.getAuthCode，但要注意，如果用户从未授权过该小程序，调用会静默失败，返回的code是空的。所以稳妥的做法是：先调用my.getAuthCode({scopes: 'auth_base'})，这是一个最低权限的授权，不会弹窗，如果成功拿到code，说明用户已经授权过；如果失败，再引导用户点击按钮触发授权弹窗。

代码写法如下：

// 第一步：尝试静默获取授权码
my.getAuthCode({
scopes: 'auth_base',
success: (res) => {
if (res.authCode) {
// 拿到code，调用后端接口换token
this.exchangeToken(res.authCode);
} else {
// 未授权，显示授权按钮
this.setData({ showAuthBtn: true });
}
},
fail: () => {
// 接口调用失败，可能是网络或权限问题
this.setData({ showAuthBtn: true });
}
});

// 第二步：用户点击授权按钮后，获取带用户信息的授权码
// 注意这里scopes要传'auth_user'，才能获取到用户信息
my.getAuthCode({
scopes: 'auth_user',
success: (res) => {
if (res.authCode) {
this.exchangeToken(res.authCode);
}
}
});

这里有个容易被忽略的细节：scopes参数支持传入数组，比如['auth_base', 'auth_user']，但实际测试发现，如果同时传两个，支付宝会优先使用auth_user的权限弹窗，反而失去了静默获取的意义。所以我的建议是分两次调用，先静默，再弹窗。

拿到code之后，服务端怎么处理？以Node.js为例，你需要使用支付宝的开放平台SDK，调用alipay.system.oauth.token接口：

// 服务端代码示例（Node.js）
const AlipaySDK = require('alipay-sdk').default;
const alipay = new AlipaySDK({
appId: '你的appId',
privateKey: '你的应用私钥',
alipayPublicKey: '支付宝公钥'
});

const result = await alipay.exec('alipay.system.oauth.token', {
grantType: 'authorization_code',
code: '前端传过来的authCode'
});
// result.accessToken 就是后续调用用户信息接口的凭证

对比一下微信，微信的code换token是直接返回openId和session_key，而支付宝返回的access_token还需要再调一次接口才能拿到userId。这个差异让很多从微信转过来的开发者不适应。我见过有团队在客户端直接拿code去调支付宝的接口，结果跨域报错——因为支付宝的token接口只允许服务端调用，且需要签名。

说到签名，这是另一个容易出问题的地方。支付宝的SDK会自动处理签名，但如果你自己用HTTP请求拼参数，一定要严格按照文档的签名规则，包括参数排序、编码、拼接。有一次我排查了半天，发现是timestamp参数格式不对，支付宝要求是“yyyy-MM-dd HH:mm:ss”，而我传了时间戳数字。

还有一个扩展话题：授权码和会员卡、芝麻信用等场景的联动。如果你要做“一键领取会员卡”，那么获取授权码时，scopes要传'auth_user'，并且需要在支付宝开放平台配置对应的接口权限。否则即使拿到code，后端调接口也会报“权限不足”。我习惯在开发前，先检查一下小程序后台的“功能列表”里，是否已经添加了“获取会员信息”和“alipay.user.info.share”这两个权限。

最后说一个调试技巧：在支付宝小程序开发者工具里，my.getAuthCode的返回结果可以在“Network”面板中看到，但注意工具里的模拟数据有时和真机不一致。我遇到过在工具里能拿到code，真机却返回空的情况，原因是真机上用户没有授权过，而工具默认是已授权状态。所以务必用真机测试授权流程，尤其是首次安装小程序时的场景。

如果你在测试时发现code拿到了，但后端换token时返回“无效code”，先检查code是否已经使用过——支付宝的code是单次有效的，你可以在后端加一个缓存，记录已使用过的code，避免重复消费。另外，code和appId是绑定的，如果你在测试环境用了另一个小程序的code，肯定报错。