本文引用了作者“大古同学”的“二维码扫码登录是什么原理”一文的主要内容，为了更好的理解和阅读，即时通讯网收录时有修订和改动，感谢原作者的分享。

1、引言

0.jpg (18.96 KB, 下载次数: 4201)

下载附件  保存到相册

4 年前 上传

2、专题目录

• 《IM扫码登录技术专题(一)：微信的扫码登录功能技术原理调试分析》
• 《IM扫码登录技术专题(二)：市面主流的扫码登录技术原理调试分析》
• 《IM扫码登录技术专题(三)：通俗易懂，IM扫码登录功能详细原理一篇就够》（* 本文）
• 《IM扫码登录技术专题(四)：你真的了解二维码吗？刨根问底、一文掌握！》
  

3、二维码登录的本质

3.1扫码登录安全吗？

3.2扫码登录的技术本质

• 1）告诉系统我是谁；
• 2）向系统证明我是谁。
  

• 比如账号密码登录：账号就是告诉系统我是谁， 密码就是向系统证明我是谁；
• 比如手机验证码登录：手机号就是告诉系统我是谁，验证码就是向系统证明我是谁。
  

4、认识二维码

2.jpg (11.67 KB, 下载次数: 4261)

下载附件  保存到相册

4 年前 上传

3.jpg (21.88 KB, 下载次数: 4265)

下载附件  保存到相册

4 年前 上传

2-2.jpg (18.19 KB, 下载次数: 4458)

下载附件  保存到相册

4 年前 上传

5、传统系统是如何登陆认证的？

4.jpg (31.87 KB, 下载次数: 4283)

下载附件  保存到相册

4 年前 上传

• 1）账号密码登录时，客户端会将设备信息一起传递给服务端；
• 2）如果账号密码校验通过，服务端会把账号与设备进行一个绑定，存在一个数据结构中，这个数据结构中包含了账号ID、设备ID、设备类型等等。
  

const token = {
  acountid: '账号ID',
  deviceid: '登录的设备ID',
  deviceType: '设备类型，如 iso,android,pc......',
}

• 1）客户端得到这个token后，需要进行一个本地保存，每次访问系统API都携带上token与设备信息；
• 2）服务端就可以通过token找到与它绑定的账号与设备信息，然后把绑定的设备信息与客户端每次传来的设备信息进行比较， 如果相同，那么校验通过，返回AP接口响应数据， 如果不同，那就是校验不通过拒绝访问。
  

• 《IM开发基础知识补课(一)：正确理解前置HTTP SSO单点登陆接口的原理》
• 《IM开发基础知识补课(四)：正确理解HTTP短连接中的Cookie、Session和Token》
• 《IM开发基础知识补课(七)：主流移动端账号登录方式的原理及设计思路》（推荐）
  

6、扫码登录的详细技术步骤

6.1大概流程

5.jpg (24.48 KB, 下载次数: 4339)

下载附件  保存到相册

4 年前 上传

• 1）扫码前，手机端应用是已登录状态，PC端显示一个二维码，等待扫描；
• 2）手机端打开应用，扫描PC端的二维码，扫描后，会提示“已扫描，请在手机端点击确认”；
• 3）用户在手机端点击确认，确认后PC端登录就成功了。
  

6.jpg (44.1 KB, 下载次数: 4229)

下载附件  保存到相册

4 年前 上传

• 1）二维码的背后它一定存在一个唯一性的ID，当二维码生成时，这个ID也一起生成，并且绑定了PC端的设备信息；
• 2）手机去扫描这个二维码；
• 3）二维码切换为 已扫描待确认状态， 此时就会将账号信息与这个ID绑定；
• 4）当手机端确认登录时，它就会生成PC端用于登录的token，并返回给PC端。
  

6.2二维码准备

7.jpg (31.27 KB, 下载次数: 4435)

下载附件  保存到相册

4 年前 上传

• 1）PC端向服务端发起请求，告诉服务端，我要生成用户登录的二维码，并且把PC端设备信息也传递给服务端；
• 2）服务端收到请求后，它生成二维码ID，并将二维码ID与PC端设备信息进行绑定；
• 3）然后把二维码ID返回给PC端；
• 4）PC端收到二维码ID后，生成二维码（二维码中肯定包含了ID）；
• 5）为了及时知道二维码的状态，客户端在展现二维码后，PC端不断的轮询服务端，比如每隔一秒就轮询一次，请求服务端告诉当前二维码的状态及相关信息。
  

6.3扫描状态切换

8.jpg (36.17 KB, 下载次数: 4357)

下载附件  保存到相册

4 年前 上传

• 1）用户用手机去扫描PC端的二维码，通过二维码内容取到其中的二维码ID；
• 2）再调用服务端API将移动端的身份信息与二维码ID一起发送给服务端；
• 3）服务端接收到后，它可以将身份信息与二维码ID进行绑定，生成临时token。然后返回给手机端；
• 4）因为PC端一直在轮询二维码状态，所以这时候二维码状态发生了改变，它就可以在界面上把二维码状态更新为已扫描。
  

6.4状态确认

9.jpg (33.56 KB, 下载次数: 4218)

下载附件  保存到相册

4 年前 上传

• 1）手机端在接收到临时token后会弹出确认登录界面，用户点击确认时，手机端携带临时token用来调用服务端的接口，告诉服务端，我已经确认；
• 2）服务端收到确认后，根据二维码ID绑定的设备信息与账号信息，生成用户PC端登录的token；
• 3）这时候PC端的轮询接口，它就可以得知二维码的状态已经变成了"已确认"。并且从服务端可以获取到用户登录的token；
• 4）到这里，登录就成功了，后端PC端就可以用token去访问服务端的资源了。
  

• 1）可以是二维码ID；
• 2）可以是包含二维码ID的一个url地址。
  

7、本文小结

10.jpg (42.88 KB, 下载次数: 4219)

下载附件  保存到相册

4 年前 上传

• 1）告诉系统我是谁；
• 2）向系统证明我谁。
  

• 1）一个是二维码原理；
• 2）一个是基于token的认证机制。
  

附录：更多IM开发热门知识