你整个流程就有问题的，建议你多看下api里面关于login、getuserinfo还有unionid的说明。 

你要获取unionid的话他上面写了有三种方式的（ UnionID机制说明），正常按我思路来讲应该就用第一张，也就是getuserinfo这个接口来获取，但是这个接口要获取unionid的话需要获取到 encryptedData去解密，而 encryptedData是需要getuserinfo里面 withCredentials这个参数为true的（默认就是true），也就是需要登录态，需要先调用wx.login这个接口。而你写的getuserinfo已经在login前面了，那自然getuserinfo获取不到登录态信息。如果你满足了2或者3的条件，那么login接口依然可以获取到unionid的，但是你能保证你用户都满足这两个条件其中之一吗？

我们通过code获取unionid，通过unionid进行与后台交互的，把用户信息保存在后端session中，每次用户进行校验，通过session来校验，这样可以吗

写法怪怪的。。。你登录逻辑全写在app.js里了，而且code换取sessionkey的接口调用也在app.js，不应该在后台吗？而且你设置了合法域名没？