小程序会话续期遇到并发请求时，怎样避免重复登录、越权重放与授权死循环

# 核心结论

并发请求遇到会话过期时，应采用“单次续期、请求排队、受控重放”的统一机制：第一个确认会话失效的请求创建续期任务，其余请求复用同一个进行中的任务，不再各自调用登录能力；续期成功后只重放满足安全条件的请求，失败时统一清理会话并进入未登录状态。同时必须区分平台身份、业务会话和用户授权，不能把任意错误都解释为需要重新登录，也不能把获得头像、位置等授权等同于完成身份认证。

# 底层机制

小程序登录接口返回的是短期临时凭证，客户端应将其发送给可信服务端，由服务端与平台完成校验、建立平台身份到业务用户的映射，并签发本应用的业务会话。平台用户标识不能直接充当接口令牌，平台密钥和会话密钥也不能写入客户端。服务端处理每个业务