IM即时通讯软件开发之扫码登录功能

Posted 2022-07-18 wecloud1314

在2维码扫码登录的过程中，大家可能会有疑问：这二维码安全吗？会不会泄漏我的个人信息？我的im系统敢不敢也搞一个扫码登录呢？

针对这些顾虑，我们需要了解一下二维码扫码登录背后的技术和逻辑本质。

扫码登录的技术本质

二维码扫码登录本质上也是一种登录认证方式。

既然是登录认证，要做的也就两件事情：

1）告诉系统我是谁；2）向系统证明我是谁。举个实际的例子来理解一下：

比如账号密码登录：账号就是告诉系统我是谁， 密码就是向系统证明我是谁；比如手机验证码登录：手机号就是告诉系统我是谁，验证码就是向系统证明我是谁。那么扫码登录是怎么做到这两件事情的呢？

以微作的扫码登录为例：手机端应用扫PC端二维码，手机端确认后，账号就在PC端登录成功了！这里，PC端登录的账号肯定与手机端是同一个账号。不可能手机端登录的是账号A，而扫码登录以后，PC端登录的是账号B。

所以，第一件事情——“告诉系统我是谁”，是比较清楚的！

PS：通过扫描二维码，把手机端的账号信息传递到PC端，至于具体是怎么传的，我们后面再说。

第二件事情：“向系统证明我是谁”。扫码登录过程中，用户并没有去输入密码，也没有输入验证码，或者其他什么码。那是怎么证明的呢？

有些同学会想到，是不是扫码过程中，把密码传到了PC端呢？

但这是不可能的。因为那样太不安全的，客户端也根本不会去存储密码。

我们仔细想一下，其实手机端APP它是已经登录过的，就是说手机端是已经通过登录认证。所说只要扫码确认是这个手机且是这个账号操作的，其实就能间接证明我谁。

认识二维码

那么如何做扫码登陆的确认呢？我们后面会详细说明，在这之前我们需要先认识一下二维码！ 在认识二维码之前我们先看一下一维码！

所谓一维码，也就是条形码，条形码实际上就是一串数字，以平时生活中的商品为例，它上面的一维码存储的就是商品的编号。

二维码其实与条形码类似，只不过它存储的不一定是数字，还可以是任何的字符串，你可以认为，它就是字符串的另外一种表现形式。

在搜索引擎中搜索二维码，你可以找到很多在线生成二维码的工具网站，这些网站可以提供字符串与二维码之间相互转换的功能，比如 草料二维码网站。

在左边的输入框就可以输入你的内容，它可以是文本、网址，文件........。然后就可以生成代表它们的二维码。

你也可以把二维码上传，进行”解码“，然后就可以解析出二维码代表的含义。

传统系统是如何登陆认证的？

认识了二维码，我们了解一下移动互联网下的传统登录认证机制。

前面我们说过，为了安全，手机端它是不会存储你的登录密码的。 但是在日常使用过程中，我们应该会注意到，只有在你的应用下载下来后，第一次登录的时候，才需要进行一个账号密码的登录， 那之后呢 即使这个应用进程被杀掉，或者手机重启，都是不需要再次输入账号密码的，它可以自动登录。

其实这背后就是一套基于token的认证机制，我们来看一下这套机制是怎么运行的。

1）账号密码登录时，客户端会将设备信息一起传递给服务端；2）如果账号密码校验通过，服务端会把账号与设备进行一个绑定，存在一个数据结构中，这个数据结构中包含了账号ID、设备ID、设备类型等等。const token = acountid: '账号ID', deviceid: '登录的设备ID', deviceType: '设备类型，如 iso,android,pc......',

然后服务端会生成一个token，用它来映射数据结构，这个token其实就是一串有着特殊意义的字符串，它的意义就在于，通过它可以找到对应的账号与设备信息。

具体是：

1）客户端得到这个token后，需要进行一个本地保存，每次访问系统API都携带上token与设备信息；2）服务端就可以通过token找到与它绑定的账号与设备信息，然后把绑定的设备信息与客户端每次传来的设备信息进行比较， 如果相同，那么校验通过，返回AP接口响应数据， 如果不同，那就是校验不通过拒绝访问。从前面这个流程，我们可以看到，客户端不会也没必要保存你的密码，相反，它是保存了token。即时通讯聊天软件app开发可以加蔚可云的v：weikeyun24咨询

可能有些同学会想，这个token这么重要，万一被别人知道了怎么办。

实际上：知道了也没有影响， 因为设备信息是唯一的，只要你的设备信息别人不知道， 别人拿其他设备来访问，验证也是不通过的。

可以说，客户端登录的目的，就是获得属于自己的token。

那么在扫码登录过程中，PC端是怎么获得属于自己的token呢？不可能手机端直接把自己的token给PC端用！token只能属于某个客户端私有，其他人或者是其他客户端是用不了的。

在分析这个问题之前，我们有必要先梳理一下，扫描二维码登录的一般步骤是什么样的。这可以帮助我们梳理清楚整个过程。

1）扫码前，手机端应用是已登录状态，PC端显示一个二维码，等待扫描；2）手机端打开应用，扫描PC端的二维码，扫描后，会提示“已扫描，请在手机端点击确认”；3）用户在手机端点击确认，确认后PC端登录就成功了。可以看到，二维码在中间有三个状态：待扫描、已扫描待确认、已确认。

具体解释就是：

1）二维码的背后它一定存在一个唯一性的ID，当二维码生成时，这个ID也一起生成，并且绑定了PC端的设备信息；2）手机去扫描这个二维码；3）二维码切换为 已扫描待确认状态， 此时就会将账号信息与这个ID绑定；4）当手机端确认登录时，它就会生成PC端用于登录的token，并返回给PC端。好了，到这里，基本思路就已经清晰了，接下来我们把整个过程再具体化一下。

二维码准备

按二维码不同状态来看， 首先是等待扫描状态，用户打开PC端，切换到二维码登录界面时。

1）PC端向服务端发起请求，告诉服务端，我要生成用户登录的二维码，并且把PC端设备信息也传递给服务端；2）服务端收到请求后，它生成二维码ID，并将二维码ID与PC端设备信息进行绑定；3）然后把二维码ID返回给PC端；4）PC端收到二维码ID后，生成二维码（二维码中肯定包含了ID）；5）为了及时知道二维码的状态，客户端在展现二维码后，PC端不断的轮询服务端，比如每隔一秒就轮询一次，请求服务端告诉当前二维码的状态及相关信息。二维码已经准好了，接下来就是扫描状态。