场景
二维码最常用的场景之一就是通过手机端应用扫描PC或者WEB端的二维码，来登录同一个系统。比如手机微信扫码登录PC端微信，手机淘宝扫码登录PC端淘宝。
二维码登录的本质
二维码登录本质上是一种登录认证方式。
- 告诉系统我是谁
- 向系统证明我是谁
| 告诉系统我是谁 | 向系统证明我是谁 | |
|---|---|---|
| 账号密码登录 | 账号 | 密码 |
| 手机验证码登录 | 手机号 | 验证码 |
| 扫码登录 | 扫描二维码，把手机端的账号信息传递到PC端 | 扫码确认是这个手机且是这个账号操作的，其实就能间接证明我谁 |
系统认证机制
场景：应用下载后，第一次登录的时候，才需要进行一个账号密码的登录，之后即使这个应用进程被杀掉，或者手机重启，都是不需要再次输入账号密码的，它可以自动登录。
这背后就是一套基于token的认证机制，我们来看一下这套机制是怎么运行的
- 账号密码登录时，客户端会将设备信息一起传递给服务端
- 如果账号密码校验通过，服务端会把账号与设备进行一个绑定，存在一个数据结构中，这个数据结构中包含了账号ID，设备ID，设备类型等等\
const token = {
acountid:'账号ID',
deviceid:'登录的设备ID',
deviceType:'设备类型，如 iso,android,pc......',
}
- 然后服务端会生成一个token，用它来映射数据结构，这个token其实就是一串有着特殊意义的字符串，它的意义就在于，通过它可以找到对应的账号与设备信息
- 客户端得到这个token后，需要进行一个本地保存，每次访问系统API都携带上token与设备信息
- 服务端就可以通过token找到与它绑定的账号与设备信息，然后把绑定的设备信息与客户端每次传来的设备信息进行比较， 如果相同，那么校验通过，返回API接口响应数据， 如果不同，那就是校验不通过拒绝访问
综上，客户端不会保存密码，只保存token。
如果token被别人知道了，会有什么影响？
设备信息是唯一的，只要你的设备信息别人不知道， 别人拿其他设备来访问，验证也是不通过的。
客户端登录的目的：获得属于自己的token
在扫码登录过程中，PC端是怎么获得属于自己的token？
首先，token只能属于某个客户端私有，其他人或者是其他客户端是用不了的
扫描二维码登录的一般步骤
- 扫码前，手机端应用是已登录状态，PC端显示一个二维码，等待扫描
- 手机端打开应用，扫描PC端的二维码，扫描后，会提示"已扫描，请在手机端点击确认"
- 用户在手机端点击确认，确认后PC端登录就成功了
可以看到，二维码在中间有三个状态， 待扫描，已扫描待确认，已确认。
- 二维码的背后它一定存在一个唯一性的ID，当二维码生成时，这个ID也一起生成，并且绑定了PC端的设备信息
\
- 手机去扫描这个二维码
\
- 二维码切换为 已扫描待确认状态， 此时就会将账号信息与这个ID绑定
\
- 当手机端确认登录时，它就会生成PC端用于登录的token，并返回给PC端
二维码准备
- PC端向服务端发起请求，告诉服务端，我要生成用户登录的二维码，并且把PC端设备信息也传递给服务端
\
- 服务端收到请求后，它生成二维码ID，并将二维码ID与PC端设备信息进行绑定
\
- 然后把二维码ID返回给PC端
\
- PC端收到二维码ID后，生成二维码(二维码中肯定包含了ID)
\
- 为了及时知道二维码的状态，客户端在展现二维码后，PC端不断的轮询服务端，比如每隔一秒就轮询一次，请求服务端告诉当前二维码的状态及相关信息
扫描状态切换
- 用户用手机去扫描PC端的二维码，通过二维码内容取到其中的二维码ID
\
- 再调用服务端API将移动端的身份信息与二维码ID一起发送给服务端
\
- 服务端接收到后，它可以将身份信息与二维码ID进行绑定，生成临时token。然后返回给手机端
\
- 因为PC端一直在轮询二维码状态，所以这时候二维码状态发生了改变，它就可以在界面上把二维码状态更新为已扫描
那么为什么需要返回给手机端一个临时token呢？临时token与token一样，它也是一种身份凭证，不同的地方在于它只能用一次，用过就失效。
在第三步骤中返回临时token，为的就是手机端在下一步操作时，可以用它作为凭证。以此确保扫码，登录两步操作是同一部手机端发出的
状态确认
@startuml
autonumber
participant "PC端" as Browser #chocolate
participant "服务端" as Server #orange
participant "手机端" as Phone #yellowgreen
activate Phone
Phone -> Server: 携带临时token，确认登录
activate Server
Server -> Server: 改变二维码状态，生成PC端token
activate Browser
Browser -> Server: 轮询二维码状态，已确认
Server -> Browser: 返回二维码状态和token
Browser -> Server: token
@enduml
- 手机端在接收到临时token后会弹出确认登录界面，用户点击确认时，手机端携带临时token用来调用服务端的接口，告诉服务端，我已经确认
\
- 服务端收到确认后，根据二维码ID绑定的设备信息与账号信息，生成用户PC端登录的token
\
- 这时候PC端的轮询接口，它就可以得知二维码的状态已经变成了"已确认"。并且从服务端可以获取到用户登录的token
\
- 到这里，登录就成功了，后端PC端就可以用token去访问服务端的资源了
