最全二维码原理详解——（0基础适用）

一、二维码登录的本质

二维码登录本质上是一种登录认证方式。既然是登录认证，要做的就是：

1、告诉系统我是谁

2、向系统证明我是谁

首先，

告诉系统我是谁：通过扫描二维码，把手机端的账号信息传到PC端

向系统证明我是谁：扫码确认是这个手机且是这个账户操作的

二、认识二维码

二维码可以认为是字符串的另一种表现形式。

在搜索引擎中搜索二维码，可以找到很多在线生成二维码的工具网站，这些网站可以提供字符串与二维码之间相互转换的功能，比如：草料二维码网站

三、系统认证机制

在一个应用被下载完之后，第一次登陆需要账号密码登录，在以后无论是关掉应用或者是重启手机，下次登录都不需要在输入账号密码，可以自动登录。这些就是基于token的认证机制

1、账号密码登录时，客户端会将设备信息一起传递给服务端

2、如果账号密码校验通过，服务端会把账号与设备进行一个绑定，存在一个数据结构里

然后服务器会生成一个token，用token来映射数据结构（这个token其实就是一串有着特殊意义的字符串，它的意义在于，通过它可以找到对应的账号与设备信息）

3、客户端得到这个token后，需要进行一个本地保存，每次访问系统API，都携带上token与设备信息

4、服务端就可以通过token找到与它绑定的账号与设备信息，然后把绑定的设备信息与客户端每次传来的设备信息进行对比，如果相同，就校验通过，返回AP接口响应数据，如果不同，那就校验不通过拒绝访问

从前面这个流程，可以看出，客户端不会也没必要保存你的密码，相反，它是保存了token。token如果呗其他人知道是不会受任何影响的，因为设备信息是唯一的，只要你的设备信息别人不知道，别人用其他设备来访问，验证也是不会通过的

可以说，客户端的目的就是获得属于自己token

四、扫描二维码登录的一般步骤

大概流程：

1、扫码前，手机端应用是已登录状态，PC端显示一个二维码，等待扫描

2、手机端打开应用，扫描PC端的二维码，扫描后，会提示“已扫描，请在手机端点击确认"

3、用户唉手机端点击确认，确认后PC端登录就成功了

可以看到，二维码在中间有三个状态：待扫描，已扫描待确认，已确认

1、二维码的背后它一定存在一个唯一性的ID，当二维码生成时，这个ID也一起生成，并且绑定了PC端的设备信息

2、手机去扫描这个二维码

3、二维码切换为已扫描待确认状态，此时就会将账号信息与这个ID绑定

4、当手机端确认登录时，它就会生成PC端用于登录的token，并返回给PC端

二维码准备：

按二维码不同状态来看，首先是等待扫描状态，，用户打开PC端，切换到二维码登录界面时：

1、PC端向服务端发起请求，告诉服务端，我要生成用户登录的二维码，并且把PC端设备信息也传递给服务器

2、服务器收到PC端传来的请求以及设备信息后，生成二维码ID与设备信息进行绑定

3、服务端把二维码ID传给PC端

4、PC端收到二维码ID后，生成二维码（二维码中肯定包含了ID）

5、为了及时知道二维码的状态，客户端在展示二维码后，PC端不断地轮询服务端，比如每个一秒就轮训一次，请求服务端告诉当前二维码的状态及相关信息

扫描状态切换：

1、用户用手机扫描PC端的二维码，通过二维码内容取到其中的二维码ID

2、再调用服务端API将移动端的身份信息与二维码ID一起发送给服务端

3、服务端接收到后，将身份信息与二维码ID进行绑定，生成临时token，然后返回给手机端

4、因为PC端一直在轮询状态，所以这时候二维码状态发生了改变，它就可以唉界面上吧二维码状态更新为已扫描

临时token——为了手机端在下一步操作时，可以用它作为凭证，以此确保扫码，登录两部操作时同一部手机端发出的

状态确认：

1、手机端在接受到临时token后会弹出登录界面，用户点击确定时，手机端携带临时token用来调用服务端的接口，告诉服务器，我已经确认

2、服务器收到确认后，根据二维码ID绑定的设备信息与账号信息，生成用户PC端登录的token

3、这时候PC端的轮询接口，它就可以得知二维码的状态已经变成了“已确认”，并且从服务端可以获取到用户登录的token

4、到这里登录就成功了，后端PC端就可以用token去访问服务端的资源了

五、总结

前面讲的登录流程，适用于同一个系统的PC端，web端，移动端。

如果是通过第三方应用来扫码登录，这种就是微信/qq等第三方应用有提供唯一用户表示