微信公众号网页授权域名校验是启用OAuth2.0网页授权能力前的必要步骤。开发者需要在公众平台填写授权回调域名，并证明自己对该域名拥有控制权。微信采用的方式是要求将平台生成的MP_verify_xxxx.txt校验文件上传到域名对应站点的根目录，再通过公网访问该文件来验证域名归属。这个文件本身内容极短，通常只有一串随机字符，但它的放置位置和访问方式必须严格符合平台要求。很多配置失败的情况，并不是因为文件内容错误，而是因为文件没有真正落在Web服务器的文档根目录，或者请求被路由、重定向、权限规则拦截。
理解校验原理后，排查问题会更有方向。微信服务器会向填写的域名发起一个HTTP请求，请求路径为根目录下的MP_verify_xxxx.txt。如果服务器返回200状态码，并且响应体内容与平台生成的校验字符串一致，校验即通过。这里有两个硬性条件：一是路径必须可直接访问，不能依赖登录状态或额外参数；二是响应内容必须完全匹配，不能包含HTML标签、BOM头、空格或换行。只要任何一个条件不满足，校验都会失败。
MP_verify_xxxx.txt文件从哪里获取
登录微信公众平台后，进入设置与开发中的公众号设置，找到功能设置里的网页授权域名选项。点击设置或修改域名时，页面会提示下载校验文件。不同账号和不同操作场景下，文件名可能不同，但格式通常是MP_verify_开头，后续跟随一串随机字符，扩展名为.txt。下载后不要修改文件名，也不要修改文件内容。这个文件名与当前公众号主体绑定，用于确认你对目标域名的控制权。
下载下来的文件内容通常只有一行字符，例如类似mp_verify_xxxxxxxxxxxxxxxx的字符串。有些编辑器打开后会自动在文件末尾添加换行符，或者保存时带上BOM头，这些都可能造成内容比对失败。建议使用纯文本编辑器确认文件内容，或者直接在服务器上用命令查看文件字节数。不要在文件里添加说明文字、空格或HTML结构，微信校验只认原始字符串。
如果修改了文件内容但保留文件名，校验也无法通过。平台生成的校验文件具有唯一性，文件内容与文件名之间没有可推算关系，必须使用平台当时提供的原始文件。如果文件丢失或误改，回到公众平台重新下载即可。重新下载时，平台可能生成新的文件名或新的内容，因此在服务器上需要确保新文件已替换旧文件。
文件应该放在服务器的哪个位置
MP_verify_xxxx.txt必须放在域名对应站点的Web根目录下，不能放在子目录、上传目录或项目源码目录里。以Nginx为例，如果站点的root配置为/var/www/html，那么文件就应该放在/var/www/html/MP_verify_xxxx.txt。最终通过浏览器访问http://你的域名/MP_verify_xxxx.txt时，服务器能够直接返回文件内容。
很多开发者习惯把文件放在项目根目录，然后通过框架路由去处理这个请求。但微信公众号的校验请求不会携带任何前端路由信息，也不会执行JavaScript。它只是一个普通的HTTP GET请求，服务器要么从文件系统里找到这个静态文件，要么返回404或路由响应。如果项目使用Vue、React等单页应用，必须确保服务器对静态文件优先处理，而不是把所有请求都交给前端路由。否则访问校验文件时，可能返回的是index.html的内容，导致内容不匹配。
对于前后端分离项目，还需要注意域名本身究竟指向哪里。如果网页授权域名填写的是h5.ippipp.com，但该域名通过反向代理指向了后端服务，或者指向了CDN节点，那么校验文件也必须能从这条链路访问到。可以把校验文件同时放在源站根目录和CDN回源路径下，并确认CDN没有对.txt文件进行改写或缓存旧内容。最稳妥的方式是先关闭或绕过缓存，直接在源站测试通过后再恢复。
Nginx、Apache与Tomcat环境下的放置与验证
Nginx环境下，先找到站点配置中server_name对应的root目录。将文件上传到该目录后，执行nginx -t检查配置是否正确，再执行nginx -s reload使配置生效。接着在服务器本地使用curl -I http://127.0.0.1/MP_verify_xxxx.txt查看返回状态码，注意这里访问的是127.0.0.1，不替换。若状态码为200，再使用curl http://你的域名/MP_verify_xxxx.txt从公网域名测试一次，确保输出内容与文件中字符串完全一致。
# 在服务器上检查文件是否存在 ls -l /var/www/html/MP_verify_xxxx.txt # 检查本地HTTP响应头 curl -I http://127.0.0.1/MP_verify_xxxx.txt # 检查文件正文内容 cat /var/www/html/MP_verify_xxxx.txt
Apache环境下，文件需要放在DocumentRoot指定的目录中。例如虚拟主机配置里DocumentRoot /var/www/html，则文件路径同样为/var/www/html/MP_verify_xxxx.txt。需要留意.htaccess中是否有重写规则会把.txt文件重定向到入口文件或错误页面。如果有RewriteRule匹配所有请求，需要增加条件排除已存在的文件，例如使用RewriteCond %{REQUEST_FILENAME} !-f，保证静态文件可以直接返回。
RewriteEngine On
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.html [L]
Tomcat环境下，文件应放在应用的Web应用根目录中，通常是webapps/ROOT/。如果应用部署在非ROOT路径，需要确认访问域名的根路径是否对应到该应用。由于Tomcat应用可能通过Java代码或过滤器统一处理请求，要确保过滤器不会拦截.txt文件。也可以直接在ROOT应用中放入静态文件，利用Tomcat默认的DefaultServlet提供静态资源服务。配置完成后同样用curl验证公网访问结果。
校验失败的常见原因与排查方法
第一类原因是文件位置错误。开发者可能把文件放到了public目录、static目录或uploads目录，但这些目录未必是站点根目录。判断方法很简单：访问http://你的域名/MP_verify_xxxx.txt，如果返回404，说明文件不在服务器能对外提供的根路径下，需要重新确认root或DocumentRoot配置。
第二类原因是域名无法正常解析或未完成备案。微信公众号校验要求域名能够从公网被访问。如果域名解析还未生效，或者服务器只允许内网访问，微信服务器自然无法获取文件。在中国大陆地区，未备案域名通常无法通过80端口对外提供Web服务，因此必须先完成ICP备案。若使用HTTPS，需确保证书有效，微信一般兼容正常CA签发的证书，但自签名证书容易导致校验失败。
第三类原因是响应内容不一致。有时文件能访问，状态码也是200，但响应内容被Web服务器附加了额外信息。例如某些服务器会对.txt文件自动添加默认字符集声明，或者因为.htaccess配置导致文件被当做PHP解析，输出结果混入错误提示。排查时不要只看浏览器显示，要用curl -v查看完整响应头和响应体。若响应头中出现Content-Type: text/html而内容却包含HTML，说明请求被路由到了其他处理逻辑。
第四类原因是文件被CDN缓存或安全策略拦截。如果域名接入了CDN、WAF或防火墙，可能对.txt文件进行拦截、改写或返回验证码页面。可以暂时将域名解析回源站，或者在CDN控制台将/MP_verify_xxxx.txt设置为不缓存、不压缩、不拦截，再重新提交校验。验证完成后，可以恢复原有安全策略。部分云平台还会因为安全组规则限制公网入站，需要确保80或443端口对微信服务器的访问是放行的。
还有一种容易被忽略的情况是域名填写格式。公众平台网页授权域名要求填写不带协议的域名，例如ippipp.com或h5.ippipp.com，而不是http://ippipp.com。如果填写时带了协议头或端口号，校验请求可能无法正确发起。填写前建议先在公众平台页面确认提示格式，同时保证填写的域名就是实际对外提供服务的域名，避免使用内部域名或测试域名。
微信公众号网页授权域名校验MP_verify_xxxx.txt修改时间：2026-08-20 10:43:00