1 前言

前几天看了极客时间一个二维码的视频，写的不错，这里总结下。

在日常生活中，二维码出现在很多场景，比如超市支付、系统登录、应用下载等等。了解二维码的原理，可以为技术人员在技术选型时提供新的思路。对于非技术人员呢，除了解惑，还可以引导他更好地辨别生活中遇到的各种二维码，防止上当受骗。

二维码，大家再熟悉不过了。购物扫个码，吃饭扫个码，坐公交也扫个码。

支付二维码

乘车码

在扫码的过程中，大家可能会有疑问：这二维码安全吗？会不会泄漏我的个人信息？更深度的用户还会考虑：我的系统是不是也可以搞一个二维码来推广呢？

这时候就需要了解一下二维码背后的技术和逻辑了！

二维码最常用的场景之一就是通过手机端应用扫描PC或者WEB端的二维码，来登录同一个系统。比如手机微信扫码登录PC端微信，手机淘宝扫码登录PC端淘宝。那么就让我们来看一下，二维码登录是怎么操作的！

2 二维码登录的本质

二维码登录本质上也是一种登录认证方式。既然是登录认证，要做的也就两件事情：

比如账号密码登录，账号就是告诉系统我是谁， 密码就是向系统证明我是谁;

比如手机验证码登录，手机号就是告诉系统我是谁，验证码就是向系统证明我是谁;

那么扫码登录是怎么做到这两件事情的呢？我们一起来考虑一下。

手机端应用扫PC端二维码，手机端确认后，账号就在PC端登录成功了！这里，PC端登录的账号肯定与手机端是同一个账号。不可能手机端登录的是账号A，而扫码登录以后，PC端登录的是账号B。

所以，第一件事情，告诉系统我是谁，是比较清楚的！

通过扫描二维码，把手机端的账号信息传递到PC端，至于是怎么传的，我们后面再说。

第二件事情，向系统证明我是谁。扫码登录过程中，用户并没有去输入密码，也没有输入验证码，或者其他什么码。那是怎么证明的呢？

有些同学会想到，是不是扫码过程中，把密码传到了PC端呢？但这是不可能的。因为那样太不安全的，客户端也根本不会去存储密码。我们仔细想一下，其实手机端APP它是已经登录过的，就是说手机端是已经通过登录认证。

所以说，

只要扫码确认是这个手机且是这个账号操作的，其实就能间接证明我谁。

在说明什么是二维码之前，我们先看看它的爸爸-一维码。哈哈哈

一维码、条形码

没错，就是我们生活中商品包装上常见的条形码。其实际上就是一串数字，表示了该商品的序列号。

那二维码其实也是类似于条形码，只不过其存储的不仅可以是数字，也可以任何字符串，只是换了张好看的皮囊。

想要生成二维码，可以查查网上的导航站，或在线生成工具网站。比如，草料二维码，不仅可以转二维码，也可以进行“解码”。

认识了二维码，我们了解一下移动互联网下的系统认证机制。

前面我们说过，为了安全，手机端它是不会存储你的登录密码的。但是在日常使用过程中，我们应该会注意到，只有在你的应用下载下来后，第一次登录的时候，才需要进行一个账号密码的登录，那之后呢，即使这个应用进程被杀掉，或者手机重启，都是不需要再次输入账号密码的，它可以自动登录。

其实这背后就是一套基于token的认证机制，我们来看一下这套机制是怎么运行的：

基于token的认知机制流程

简要说明下这个过程：

账号密码登录时，客户端会将设备信息一起传递给服务端，
如果账号密码校验通过，服务端会把账号与设备进行一个绑定，存在一个数据结构中，这个数据结构中包含了账号 ID，设备 ID，设备类型等等。
```
const token = {
    acountid: '账号ID',
    deviceid: '登录的设备ID',
    deviceType: '设备类型，如 iso,android,pc......',
}
```
然后服务端会生成一个 token，用它来映射数据结构，这个 token 其实就是一串有着特殊意义的字符串，它的意义就在于，通过它可以找到对应的账号与设备信息。
客户端得到这个 token 后，需要进行一个本地保存，每次访问系统 API 都携带上 token 与设备信息。
服务端就可以通过 token 找到与它绑定的账号与设备信息，然后把绑定的设备信息与客户端每次传来的设备信息进行比较，如果相同，那么校验通过，返回API接口响应数据，如果不同，那就是校验不通过拒绝访问。