企业微信管理后台 扫码登录后「登录授权有效期」实测报告

• 测试对象：https://work.weixin.qq.com/wework_admin
• 测试环境：Chrome/140.0.7339.133（本地 CDP 9222）
• 测试时间：2026-10-27 18:26 – 20:31（GMT+8）
• 测试方式：CDP 被动监听（零请求）+ 2h05m 处单次定点探测

一、结论

登录态是「闲置超时」而非「固定有效期」：任何一次带 Cookie 的后台请求都会把计时器归零，连续 2 小时没有任何请求，登录授权即失效，必须重新扫码。

实测：最后一次服务端交互 18:27:26 → 20:31:35 探测时已失效（间隔 2h04m09s），窗口内零请求，与官方「2 小时」口径吻合。

二、证据链

1. 登录态 Cookie 全部是会话 Cookie

客户端拿不到任何到期时间，浏览器里不存在倒计时，完全由服务端判定 —— 所以只能靠行为观测。

2. 前端自带心跳，但只在页面可见时触发

后台 SPA 会周期调用 GET /wework_admin/index/checkPopBar，服务端返回 check_gap = now + 541s（≈9 分钟），前端据此安排下一次检查。

实测：标签页处于 visibilityState = hidden 后，连续 2 小时零请求。也就是说切走标签页后，闲置计时是真实开始的。

3. 定点探测结果（关键证据）

探测时刻   2026-10-27T12:31:35Z（登录后 2h05m00s，距上次请求 2h04m09s）
接口       GET /wework_admin/third/hasServiceCorp?lang=zh_CN&ajax=1&f=json
返回       {"result":{"errCode":-3,"message":"outsession","etype":"expired"}}
验证       GET /wework_admin/frame
         → 302 → /wework_admin/loginpage_wx?etype=expired&redirect_uri=...

etype=expired 是服务端主动标记的过期类型，不是被踢下线（被踢是 etype 另一套值，提示「您已经在其他地方登录」）。

4. 官方口径（交叉验证）

• 企业微信帮助中心《登录管理后台》第 8 条：
  「登录管理后台显示"登录态过期，请重新登录"——若已经登录了管理后台，但没有操作后台的情况下，2 个小时后会需要重新登录。」
• 企业微信开发者社区技术支持：
  「登录管理后台后，如果超过 2 小时没任何操作，会话超时，需要重新登录。」

三、方法论要点（复现时务必注意）

1. 不能轮询测量。 任何带 Cookie 的请求都算一次「操作」，会把闲置计时归零。分钟级轮询等于持续续命，永远测不出失效。
2. 单次定点探测。 每个检查点只发一次请求，之后重新计满 2h05m 再探下一次 —— 这样每次探测都落在「刚被重置的新窗口」上，不会互相污染。
3. 小心页面自身心跳。 若标签页可见，前端会自己续期，测不到闲置超时；必须让它处于后台/隐藏状态。

四、工程建议

• 需要保持后台会话（自动化/脚本场景）：每 30–60 分钟调一次任意后台接口（如 hasServiceCorp）即可续期，间隔必须 < 2 小时。
• 不要指望 Cookie 持久化：wwrtx.vst / wwrtx.sid 是会话 Cookie，浏览器进程重启即丢失。Chrome 开启「继续浏览上次打开的网页」时可能恢复会话 Cookie，但服务端 2 小时闲置计时仍然生效。
• 合规提示：模拟登录态访问管理后台属于敏感操作，仅建议在自己的企业、自己的管理员账号范围内做技术验证。