官方已经给出明确要求，不建议小程序一打开时就弹授权窗口让用户授权，这样的做法审核不会通过。

合理的做法应该是：调用wx.login静默登录，换取openid和其他信息，后台存储并返回给前端一个自己维护的session，然后每次请求后台时带上这个session用于后台校验。然后在需要用到用户头像、昵称时给出明确的提示按钮，让用户触发授权弹窗，让用户选择是否授权。