关于微信（公众号）扫码登录

**

思路：

**

1. 每个用户都拥有一个唯一的openid，一个用户对应一个session_id。
2. （公众号扫码推事件）扫码，将这两个信息通过微信服务器发送到开发者服务器。
3. 开发者服务器将信息存入缓存或数据库（存储格式：session_id => openid）.
4. 登录页面可以有一个定时器，定时去查询session_id对应的openid，查询到则登录成功！

**

存在的安全隐患

**
攻击者可以轻易获取用户的openid，从而模仿微信服务器，给开发者服务器发送模拟的登录请求。这个时候，开发者服务器做任何加密都无济于事（已经太迟了），用户就会有一定损失（用户非自愿登录）。

**

如何解决这个安全隐患？

**
核心思想：登录时，用户需要自行确认是本人，才可登录成功！

实现思路：

1. 用户扫码时，不能信任微信服务器发过来的openid（因为可能会被攻击者伪造），应该引导用户进入微信网页授权页面获取openid。（这样就不会被攻击者伪造请求了，因为微信服务器请求，不被程序信任）
2. 将授权后获得的openid和session_id，做存储。
3. 登录页面定时查询！