JAVA 前端 扫码登录

转：

扫码登录原理及实现

二维码扫码登录

核心流程：

1、请求业务服务器获取用以登录的二维码和 UUID。

2、通过 websocket 连接 socket 服务器，并定时(时间间隔依据服务器配置时间调整)发送心跳保持连接。（也可以定时请求）

3、用户通过 APP 扫描二维码，发送请求到业务服务器处理登录。根据 UUID 设置登录结果。

4、socket 服务器通过监听获取登录结果，建立 session 数据，根据 UUID 推送登录数据到用户浏览器。为了安全浏览器可以拿到登录信息进行服务器验证是否有效

5、用户登录成功，服务器主动将该 socker 连接从连接池中剔除，该二维码失效。

关于客户端标识

也就是 UUID，这是贯穿整个流程的纽带，一个闭环登录过程，每一步业务处理都是围绕该次的 UUD 进行处理的。UUID 的生成有根据 session_id 的也有根据客户端 ip 地址的。个人还是建议每个二维码都有单独的 UUID，适用场景更广一些！

关于前端和服务器通讯

前端肯定是要和服务器保持一直通讯的，用以获取登录结果和二维码状态。看了下网上的一些实现方案，基本各个方案都有用的：轮询、长轮询、长链接、websocket。也不能肯定的说哪个方案好哪个方案不好，只能说哪个方案更适用于当前应用场景。个人比较建议使用长轮询、websocket 这种比较节省服务器性能的方案。

关于安全性

扫码登录的好处显而易见，一是人性化，再就是防止密码泄漏。但是新方式的接入，往往也伴随着新的风险。所以，很有必要再整体过程中加入适当的安全机制。例如：

• 强制 HTTPS 协议
• 短期令牌
• 数据签名
• 数据加密

流程1

pc端：
1:打开二维码登录网页index.html
2:index.html调用GetQrCodeServlet
3:GetQrCodeServlet干2件事
   a:生成随机的uuid,是一个唯一标识，该标识贯穿整个流程
   b:生成二维码图片，二维码信息：http://60.28.201.37:8380/QrCodeLoginPro/Login.html?uuid=" + uuid
4:index页面展示二维码
5:index页面调用LongConnectionCheckServlet进行长连接轮询操作，参数为uuid
6:LongConnectionCheckServlet只干1件事
   a:拿到uuid后循环检查loginUserMap中uuid是否不为null。
7:如果为null则代表没有登录，index.html将继续进行轮询

ps:
LongConnectionCheckServlet  一个长连接请求检测登录状态

loginUserMap 是一个静态的map结构的登录池，uuid为key , 登录信息为value

流程2

手机端：
1:扫描pc端的二维码
2:打开二维码中的网页 http://60.28.201.37:8380/QrCodeLoginPro/Login.html?uuid=" + uuid
3:登录，将uname upwd uuid 传递给登录程序PhoneLoginServlet
4:PhoneLoginServlet干2件事
   a:检测登录
   b:登录成功后将登录信息插入到loginUserMap中去，uuid为key

pc端：
1:继续轮询检测uuid中是否为null,

2:登录后的uuid中就不为null了，此时LongConnectionCheckServlet停止循环，返回登录状态。

LongConnectionCheckServlet.java