App 里用第三方登录，在服务器端怎么做验证？

[fengchang]

RT，App里用友盟的SDK做第三方登录，支持微博，微信，QQ，豆瓣等等，获取到uid和access token传给我。

我在服务端想验证uid的真伪，友盟没有服务端的接口，要自己一家一家做觉得有点麻烦，有没有开源的实现？

[hging]

没有. 验证他干啥....传给你什么就是什么就认为已经登录过就好了啊. 验证是APP端做的

[fengchang]

@hging 当然是为了安全，如果不做验证的话，别人只要修改客户端或者HTTP连接中的uid就可以冒充其它用户了

[kslr]

你需要了解Oath2

[qiayue]

@fengchang 所以你的 api 本身需要对信息做验证，以确保中途被人截获的请求修改参数是无效的
如果真的想要验证 uid 那么只能是一家一家去做

[kslr]

打错了，oauth2 accesstoken本身就是一个令牌

[hyzjshwo]

那是你和app的事了，和第三方没关系，第三方只是告诉你的app：ok ，验证通过，你的uid是xxx，头像是xxx，性别：o

[fengchang]

@kslr 我了解一点OAuth2，在这里的access token的Resource server是第三方服务器，拿着这个去转发新浪微博或者发朋友圈是安全的，因为Resource server可以向Authorization server验证token。但是对于我的服务器来说，如果不对token做验证，那谈何安全？

[kslr]

@fengchang 在你的APP上也做Token

[fengchang]

@kslr 算了，感觉你也没做过。我的App里当然有自己的token。我自己系统的账号可以在数据库里验证密码，第三方的系统只能请求别人的服务器做验证。第三方平台也都提供了这个接口，比如
http://open.weibo.com/wiki/Oauth2/get_token_info
http://mp.weixin.qq.com/wiki/17/c0f37d5704f0b64713d5d2c37b468d75.html#.E9.99.84.EF.BC.9A.E6.A3.80.E9.AA.8C.E6.8E.88.E6.9D.83.E5.87.AD.E8.AF.81.EF.BC.88access_token.EF.BC.89.E6.98.AF.E5.90.A6.E6.9C.89.E6.95.88
我只想找个集成好的实现以免重复写代码，没想到这么多人跳出来告诉我不需要验证，现在程序员的安全意识真是呵呵了。

[jeansfish]

那你要找集成在服务器的oauth实现

[yuezhimsolo]

我靠，文档你不看，github你不查，开源中国你不读。。。。。

[fengchang]

@yuezhimsolo 查了，没找到，能给个链接吗？

[jsq2627]

自己实现一下吧 = = 第三方登录总共也就那么几家而已。
服务端语言是啥？

[hahastudio]

原来还有人不验证= =自己玩大概不用验证，做成产品就得有了吧= =

没用过友盟，没用过国产第三方登录服务= =
就简单地搜了一下，看到了一些人的学习笔记，例如：
http://blog.csdn.net/arthurchenjs/article/details/6567563

感觉你就别想着找开源实现了= =自己做吧= =

[pubby]

后台拿access_token再去获取一下用户信息比对一下

主要也就QQ 微信 微博 ， 主要还是微信和QQ， 微博登录数差了个数量级，其它的估计量更小了


另外提一下：
QQ那个有点坑，你拿app上得到access_token在服务端取信息，有一定概率拿到的用户信息是"qzuser"，没头像，没信息

猜测是因为你app和服务器ip不同，导致连接了qq不同的服务器，而qq集群间数据同步方面偶尔抽风，瞎猜，反正我没解决 -_- ，这种情况只好直接拿APP得到的userinfo来用。

[046569]

@pubby
若用户拒绝授权,你就会拿到 qzuser .

[pubby]

@046569 授权了，在APP上能拿到

[jeansfish]

@fengchang

https://github.com/jeansfish/RFC6749.zh-cn

打个广告。服务器自己实现？

[gongweixin1990]

没什么验证的必要吧，uid和accessToken都是QQ、微博那边传过来的，你那边要验证就只能自己又重新在微博那边走一遍Oauth

[fengchang]

@gongweixin1990 怎么会没必要呢？
比如某个大V用微博登录了知乎。我上微博看一下大V的页面就能拿到大V的uid，然后再自己编造一个accessToken，发给知乎的服务器，知乎的服务器如果不再去微博验证accessToken，相信了这个uid，这样我不就登录到他的知乎号上了吗？