关于新浪微博单点登录的问题

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

工单节点使用指南

• 请用平和的语言准确描述你所遇到的问题

• 厂商的技术支持和你一样也是有喜怒哀乐的普通人类，尊重是相互的

• 如果是关于 V2EX 本身的问题反馈，请使用反馈节点

这是一个创建于 2380 天前的主题，其中的信息可能已经有所发展或是发生改变。

最近在学习 oauth2 协议,准备自己实现一套..

在分析新浪微博的单点登录的功能的时候发现一个问题.

我首先登录了微博,按理来说就会拥有微博的 session.

然后我在登录网易云音乐,然后选择使用微博登录,提示还是需要登录并授权

我已经登录了微博不能直接授权吗?

不知道有没有大佬来解释一下呢?

单点

微博

Oauth2

11 条回复 • 2017-10-19 16:49:27 +08:00

TimePPT

2017-10-19 16:30:29 +08:00

首先，要确定一件事：网易云音乐的微博登录是什么场景下弹出的。是同一浏览器的 web 页，还是客户端的 webview ？

其次，这种问题一般去看下官方文档就有答案了。

http://open.weibo.com/wiki/%E6%8E%88%E6%9D%83%E6%9C%BA%E5%88%B6

p2pCoder

2017-10-19 16:32:46 +08:00

你登录的站点和微博的 api 授权站点是不同的站点，是不会 session 共享的
如果设计成共享的，那么就可以使用很多方式来盗取可以使用新浪微博 oauth2 登录的第三方网站的账号了。

TimePPT

2017-10-19 16:36:33 +08:00

另外说下，登录时如果引入强制登录的参数，会在每次授权时必须让用户去填用户密码

强制登录

授权页会默认读取当前用户的微博登录状态，如果你想让用户重新登录，请在调用 authorize 接口时传入参数：forcelogin=true，默认不填写此参数相当于 forcelogin=false

zhouyou457

2017-10-19 16:37:16 +08:00

@TimePPT 是网页版的网易云,点击微博登录直接跳转到

https://api.weibo.com/oauth2/authorize?client_id=301575942&response_type=code&redirect_uri=http://music.163.com/back/weibo&forcelogin=true&scope=friendships_groups_read,statuses_to_me_read,follow_app_official_microblog&state=xVTnXJNVSK

而且在微博->管理中心->我的应用里面可以看见我已经授权了网易云音乐

LinJunzhu

2017-10-19 16:37:30 +08:00

歪个题，单点登录 SSO 跟 oauth2 是两回事

TimePPT

2017-10-19 16:38:11 +08:00

@zhouyou457 看你 url，再看我上面那条 forcelogin=true

zhouyou457

2017-10-19 16:41:17 +08:00

@TimePPT 嗯,知道了,谢谢,这应该是网易云音乐设置必须重新登录的吧.

TimePPT

2017-10-19 16:43:43 +08:00

@zhouyou457 是的，这样便利性会低，但安全性会高一些，特别是多人共用电脑，或频繁更换浏览器微博账号的用户比较合适。

TimePPT

2017-10-19 16:46:58 +08:00

@zhouyou457 所以整个过程是
曾经向网易云授权过微博登录——>重新使用微博登录网易云——>发现 token 过期——>跳转至授权页——>授权参数带有强制登录参数——>登录界面

zhouyou457

2017-10-19 16:47:37 +08:00

@TimePPT 谢谢你如此认真的回答.

TimePPT

2017-10-19 16:49:27 +08:00

@zhouyou457 客气，因为工作原因，主持过多家公司的登录注册优化，QQ 微信微博三者的 Oath 登录比较熟而已