二维码扫码登录原理

在日常生活中，二维码出现在很多场景，比如超市支付、系统登录、应用下载等等。了解二维码的原理，可以为技术人员在技术选型时提供新的思路。

二维码最常用的场景之一就是通过手机端应用扫描 PC 或者 WEB 端的二维码，来登录同一个系统。

比如手机微信扫码登录 PC 端微信，手机淘宝扫码登录 PC 端淘宝。那么就让我们来看一下，二维码登录是怎么操作的！

二维码登录的本质

二维码登录本质上也是一种登录认证方式。既然是登录认证，要做的也就两件事情！

那么扫码登录是怎么做到这两件事情的呢？

手机端应用扫PC端二维码，手机端确认后，账号就在PC端登录成功了！这里，PC端登录的账号肯定与手机端是同一个账号。不可能手机端登录的是账号A，而扫码登录以后，PC端登录的是账号B。

所以，第一件事情，告诉系统我是谁，是比较清楚的！通过扫描二维码，把手机端的账号信息传递到PC端，至于是怎么传的，我们后面再说

第二件事情，向系统证明我是谁。扫码登录过程中，用户并没有去输入密码，也没有输入验证码，或者其他什么码。那是怎么证明的呢？

有些同学会想到，是不是扫码过程中，把密码传到了PC端呢？但这是不可能的。因为那样太不安全的，客户端也根本不会去存储密码。

其实手机端APP它是已经登录过的，就是说手机端是已经通过登录认证。所以说只要扫码确认是这个手机且是这个账号操作的，其实就能间接证明我谁。

那么如何做确认呢？我们后面会详细说明，在这之前我们需要先认识一下二维码！在认识二维码之前我们先看一下一维码！

所谓一维码，也就是条形码，超市里的条形码–这个相信大家都非常熟悉，条形码实际上就是一串数字，它上面存储了商品的序列号。

二维码其实与条形码类似，只不过它存储的不一定是数字，还可以是任何的字符串，你可以认为，它就是字符串的另外一种表现形式.

认识了二维码，我们了解一下移动互联网下的系统认证机制。

前面我们说过，为了安全，手机端它是不会存储你的登录密码的。

但是在日常使用过程中，我们应该会注意到，只有在你的应用下载下来后，第一次登录的时候，才需要进行一个账号密码的登录，之后即使这个应用进程被杀掉，或者手机重启，都是不需要再次输入账号密码的，它可以自动登录。

其实这背后就是一套基于token的认证机制，我们来看一下这套机制是怎么运行的，

const token = {
  acountid:'账号ID',
  deviceid:'登录的设备ID',
  deviceType:'设备类型，如 iso,android,pc......',
}

然后服务端会生成一个 token，用它来映射数据结构，这个 token 其实就是一串有着特殊意义的字符串，它的意义就在于，通过它可以找到对应的账号与设备信息。

客户端得到这个 token 后，需要进行一个本地保存，每次访问系统 API 都携带上 token 与设备信息。
服务端就可以通过 token 找到与它绑定的账号与设备信息，然后把绑定的设备信息与客户端每次传来的设备信息进行比较，如果相同，那么校验通过，返回 API 接口响应数据，如果不同，那就是校验不通过拒绝访问

客户端不会也没必要保存你的密码，相反，它是保存了 token。

这个 token 这么重要，万一被别人知道了怎么办?

实际上，知道了也没有影响，因为设备信息是唯一的，只要你的设备信息别人不知道，别人拿其他设备来访问，验证也是不通过的。