扫描二维码登录的过程？

二维码登录实际上和用户名密码登录要做的事情一致，账号告诉服务器「我是谁？」，密码是向服务器证明「我是我」。扫码也是一样。

下图是一个基础的客户端账号密码认证过程：

然后想一下二维码登陆时的场景：

二维码分为三个状态，展示二维码、扫码成功待确认、成功登录。

 步骤：
1.用户打开网页端二维码，此时二维码会生成一个特有的id标记
2.服务端和二维码会有一个轮询策略，不停询问网页端是否拿到token
3.用户拿着手机打开二维码，会生成一个临时token。
4.当用户扫描二维码，确认登录，会将临时token与二维码id传到服务器
5.轮询策略查出服务器有与客户端id一致,且token通过非对称加密解析到数据
6.登录成功

 为什么要有token?

重点是解决非同一设备的双方如何协同进行认证。双方如果有一方是假的，那信息就会泄露给假的那一方，这也是早期QQ盗号的方法之一，做一个和官方一样的假页面，你在里面输入账号密码，你以为你登录的是官方，其实信息已经发给制作这个假网页的人了。这个过程之所以复杂，是因为进行了多次的跨设备信息传输，过程中为了保障安全，每一个请求都要携带加密过的token，否则被拦截之后，别人就可以拿着这个token去和你做相同的请求，实现把你的账号登录在他的设备上的操作。