微信网页版登录为什么只能使用扫描二维码

微信网页版登录为什么只能使用扫描二维码

这是所有安全工程师们的梦想：一次一密，抛弃臭不可闻的单因素认证方式（用户名口令），拒绝脑残的弱口令！试着"逆向"一下微信的登录过程：1、在网页打开http://wx.qq.com，这时网页显示的是一个二维码。如上所述，服务器端生成临时跳转URL：https://login.weixin.qq.com/l/ZVXd53HvvIrvBIEG2、用手机打开微信，点击右上角的魔法棒，选择扫描二维码，然后把摄像头对准二维码扫描。客户端提取跳转URL3、扫描成功后，手机上的微信会询问“确认登录网页版”，在手机上点登录后，网页上的微信会自动登录进去。手机上点登录后，客户端GET 临时跳转URL，服务器端验证请求合法性后，push access token给网页上的js（或者网页上的js轮询服务器端：当前session对应的授权临时跳转URL是否已被访问过），网页上js收到access token后开始会话过程以上，实现了客户端session和网页session的同步和绑定。