请教大家第三方登录的原理和流程

Question

用户采用第三方登录的时候，用户会发送哪些信息到我的后台，后台会进行哪些比对操作？首次使用第三方登录和再次使用第三方登录时验证有哪些不同，后台如何保存用户的登录信息？我是在校学生，想了解一下这个流程，各位大牛给我讲解一下吧！

Answer 1

对于用户资源的授权来讲, OAuth并不是唯一的, 但是目前OAuth2.0应该已经是各种平台的事实标准了, 对于OAuth2.0协议, 有一系列RFC阐述了OAuth2.0。

不过OAuth2。0虽然已经是一个标准， 但是各个平台对它的实现并不完全相同，但是最基本的流程是一样，所以你要先了解这个协议。知道了大体流程之后你就可以结合具体的平台， 比如QQ或微博的开发文档来看。

OAuth2.0分为四种鉴权方式, 已分别应对不同的需求, 比如说web或app. 通常我们在web端使用第一种Authorization Code方式。为了简单说明，我直接拿QQ做例子，简单说一下流程：

当用户点击QQ登陆，你会通引导用户跳转到第三方登陆的登陆界面， 当用户成功登录以后会自动跳转回来，并附带一个code参数，接着你使用code就可以获得access token（访问令牌），对于QQ，由于第三方登录结合了Openid， 所以需要再通过token获取openid。这个openid是和QQ用户一一对应的, 使用access token + openid 即可获取用户信息。

第三方平台和本地用户系统结合应该分为三种情况：

• 本地未登录，第一次登录第三方：此时相当于注册，直接把第三方信息拉取来并注册成本地用户就可以了，并建立本地用户与第三方用户（openid）的绑定关系
• 本地未登录，再次登录第三方：此时用户已注册，获取到openid后直接找出对应的本地用户即可
• 本地登录，并绑定第三方： 这个只要将获取到的openid绑定到本地用户就可以了

Answer 2

搜oAuth协议

Answer 3

第三方登录背后是OAuth协议，现在是2.0版本。

推荐这篇文章：
帮你深入理解OAuth2.0协议

Answer 4

简单的实现能不能这样？
1 第一次登录 请求第三方登录返回 openid
创建本地 user 绑定 openid

2 N+1次登录 继续请求第三方接口 获取 openid
搜索 openid 对应 user
使用 user 进行操作

Answer 5

简单说原理和基本流程：

1.第三方网站（如网易）和腾讯达成协议，腾讯允许网易通过QQ获取用户信息
2.在网易上点击QQ登录，访问腾讯的OAuth API
3.输入QQ账号密码，腾讯认证
4.腾讯根据账户登录成功与否返回信息到第三方网站
5.第三方网站切换登录状态