形象理解二维码登录原理

之前在极客时间看到一个介绍二维码登录的原理，这里写篇文章记录一下。二维码是我们日常生活中随处可见，支付扫码，登录扫码，添加好友扫码，或者查看某些内容也需要扫码。今天分享一下二维码背后的技术和逻辑，并且通过二维码登录的例子，了解二维码在某些场景中的使用方法。

二维码的主要作用

二维码用某种特定的几何图形按一定规律在平面（二维方向上）分布的、黑白相间的、记录数据符号信息的图形。他的主要作用在于记录数据。二维码可以保存各种类型的数据，例如文本，网站，文件，图片等。你可以在浏览器中搜索二维码，就可以发现很多生成二维码的工具（例如草料二维码），你可以通过工具将各种数据转换成二维码，或者将某个二维码转换成对应的数据。我们通过将我们的数据保存到二维码中，然后再使用不同的方式解码，就可以达到我们想要的功能。

登录原理

二维码登录是二维码登录常用的场景之一，通过扫描PC或者web端的二维码，来登录同一个系统。例如手机微信扫码登录PC端微信，手机淘宝扫码登录web端淘宝，还有其他各种视频网页或者PC端，都可以通过扫码来登录。

手机端扫码PC端二维码，扫码确认后，手机端账号就在PC端登录了，这里，手机端和PC端登录的肯定是同一个账号。二维码登录本质也是一种登录认证方式，要做的只有两件事：①告诉系统我是谁。②向系统证明我是谁。比如账号密码登录，账号告诉系统我是谁，密码向系统证明我是谁，验证码登录也同理。那么二维码登录是怎么做到这两件事的？

1、告诉系统我是谁

通过手机扫码，将数据传递给PC端。

2、向系统证明我是谁

因为手机端已经登录，因此只要证明扫码登录的是这个手机，而且是这个账号操作的，就证明了我是谁。

token的认证机制

由于手机端是不会保存用户密码的，手机端保存用户登录的背后是一套基于token的认证机制。

①在账号密码登录时，客户端会将他的设备信息（例如设备id，设备类型<ios,android,pc等>）同时传递给服务端。

②如果密码校验通过，服务端会将账号和设备绑定，存在一个数据结构中（token）。token其实就是一串包含了部分信息的字符串。

③客户端获取到这个token后，将这个token保存到本地。

④每次访问的时候，将这个token和设备信息（指的不是token中的设备信息）传递给服务器。

⑤服务端通过token找到与它绑定的设备信息，用找到的设备信息与PC端传过来的设备信息进行比较。

⑥如果相同则返回API响应信息，不同就拒绝访问。客户端登录的目的就是为了获取自己对应的token具体的流程图如下：

二维码登录具体步骤

一般来说，二维码登录有以下几个步骤：①PC端展示二维码。②手机端扫描二维码。③PC端已扫描，请确认。④手机端确认。⑤登录成功。流程如下图：

在整个过程中，二维码有三个状态：待扫描，已扫描待确认，已确认。可以想象，二维码的背后一定存在一个唯一性ID，当二维码生成时，唯一ID也一起生成，并绑定PC端的设备信息。手机扫描二维码时，就会将账号信息与唯一ID绑定。当手机确认登录时，他就会生成PC端用于登录的token，并返回给PC端。具体流程如下：

在了解大致流程以后，我们来具体讲解，获取二维码，二维码扫码，二维码确认中间的具体流程。

①PC端像服务端发送二维码请求，并携带设备信息。

②服务端在收到请求后，生成二维码ID，并将二维码ID绑定设备信息。之后，返回二维码ID给PC端。

③PC端获取到二维码ID后，生成对应的二维码，二维码中含有二维码ID的信息（可能是二维码ID或者是包含二维码ID的URL）。

④PC端在展现二维码以后，不断的轮询服务端，查询二维码状态。

二维码准备好后，就是扫描状态。

①用户用手机扫描PC端二维码，通过二维码获取到其中的二维码ID。

②然后调用服务端API，将手机端的身份信息和二维码ID一起发给服务端。

③服务端接收到以后，将身份信息和二维码ID进行一个绑定，并生成一个临时token（临时token和token都是一种身份凭证，不同在于临时token用一次就失效了，这里返回临时token给手机端，为了手机端在下一次操作时可以以临时token作为凭证，保证扫码和登录两步操作是同一个设备）返回给手机端。

④这时候二维码状态变成了已扫描，因为PC端一直在轮询二维码状态，所以当得知二维码状态发生改变时，它就可以在界面上把二维码的状态改成已扫描。

接下来是最后的确认：

①手机端在收到临时token时，会弹出确认登录界面。

②在确认登录时，手机端会携带临时token用来调用服务端的接口，告诉服务端已经确认。

③服务端收到确认后，根据二维码ID绑定的设备信息和账号信息生成PC端的token。

④这时候PC端的轮询接口得知二维码的状态变成已确认，并且从服务端获取到用于登录的token。

到这里，登录就成功了，PC端将获取到的token保存到本地，每次请求时将token带上，就能顺利的访问服务端的资源了。

参考：二维码扫描登录是什么原理？