移动应用开发使用QQ登录OAuth2.0协议

1. 什么是“QQ登录OAuth2.0”

OAuth: OAuth(开放授权)是一个开放标准,允许用户授权第三方网站访问他们存储在另外的服务提供者上的信息,而不需要将用户名和密码提供给第三方网站或分享他们数据的所有内容。

QQ登录OAuth2.0:对于用户相关的OpenAPI(例如获取用户信息,动态同步,照片,日志,分享等),为了保护用户数据的安全和隐私,第三方网站访问用户数据前都需要显式的向用户征求授权。
QQ登录OAuth2.0采用OAuth2.0标准协议来进行用户身份验证和获取用户授权,相对于之前的OAuth1.0协议,其认证流程更简单和安全。
因此,请使用OAuth 1.0协议的网站升级为OAuth 2.0协议,升级方法详见OAuth1.0升级到OAuth2.0指引

Tips
如果您想对OAuth2.0开放标准进行扩展阅读,请参看:OAuth标准(英文) | OAuth维基百科(中文)


2. QQ登录OAuth2.0接入方式

QQ登录OAuth2.0支持网站接入移动应用接入

网站可通过以下两种方式接入:
(1)使用QQ互联提供的SDK包,用户体验统一,只需要修改少量代码,不需要理解验证授权流程,需要快速接入QQ登录的网站和移动应用可选用此方法。
QQ互联提供JavaScript,PHP,Java等多个版本的SDK,详见:SDK下载
QQ登录JS SDK详见:JS SDK使用说明

(2)根据QQ登录OAuth2.0协议,自主开发,此方法自定义程度较高,需要与现有系统进行整合的网站和移动应用可选用此方法。

详见:OAuth2.0开发文档

移动应用开发可通过以下两种方式接入:
(1)使用QQ互联提供的iOS,Android等平台的SDK包,用户体验统一,只需要修改少量代码,不需要理解验证授权流程,需要快速接入QQ登录的应用可选用此方法。
iOS与Android版本的SDK均支持web view与浏览器两种方式,即支持跳转到手机浏览器上进行QQ登录与验证流程,开发者可在SDK包中选择浏览器模式即可,但浏览器方式用户跳跃较大,不建议使用。
详见:SDK下载

(2)根据QQ登录OAuth2.0协议,自主开发,此方法自定义程度较高,需要与现有系统进行整合的移动应用可选用此方法。

建议移动应用使用webview的方式打开登录页面,登录成功后,获取accesstoken与openid,webview控件关闭,用户体验较好。
详见:OAuth2.0开发文档

对于Android2.1以下版本,访问https时会遇到签名证书验证的问题,解决方案可参考这里


3. QQ登录OAuth2.0总体处理流程

QQ登录OAuth2.0总体处理流程如下:
Step1:申请接入,获取appid和apikey
Step2:开发应用,并设置协作者帐号进行测试联调;
Step3放置QQ登录按钮
Step4:通过用户登录验证和授权,获取Access Token
Step5:通过Access Token获取用户的OpenID
Step6调用OpenAPI,来请求访问或修改用户授权的资源。


4. QQ登录OAuth2.0开发说明

开发者需要根据腾讯提供的UI规范,请求说明,接口说明进行UI和代码的开发。
详细信息请参见OAuth2.0开发文档

 

 

获取Access Token授权码的3个详细步骤:

Step1:获取Authorization Code

请求地址

PC网站:https://graph.qq.com/oauth2.0/authorize

WAP网站:https://graph.z.qq.com/moc2/authorize (暂停使用,PC接口会自适配WAP网站)

请求方法

GET

请求参数

请求参数请包含如下内容:

参数 是否必须 含义
response_type 必须 授权类型,此值固定为“code”。
client_id 必须 申请QQ登录成功后,分配给应用的appid。
redirect_uri 必须 成功授权后的回调地址,必须是注册appid时填写的主域名下的地址,建议设置为网站首页或网站的用户中心。注意需要将url进行URLEncode
state 必须 client端的状态值。用于第三方应用防止CSRF攻击,成功授权后回调时会原样带回。请务必严格按照流程检查用户与state参数状态的绑定。
scope 可选 请求用户授权时向用户显示的可进行授权的列表。

可填写的值是API文档中列出的接口,以及一些动作型的授权(目前仅有:do_like),如果要填写多个接口名称,请用逗号隔开。

例如:scope=get_user_info,list_album,upload_pic,do_like

不传则默认请求对接口get_user_info进行授权。

建议控制授权项的数量,只传入必要的接口名称,因为授权项越多,用户越可能拒绝进行任何授权。

display 可选 PC网站接入时使用。

用于展示的样式。不传则默认展示为PC下的样式。

如果传入“mobile”,则展示为mobile端下的样式。

g_ut 可选 WAP网站接入时使用。

QQ登录页面版本(1:wml版本; 2:xhtml版本),默认值为1。

 

返回说明

1. 如果用户成功登录并授权,则会跳转到指定的回调地址,并在redirect_uri地址后带上Authorization Code和原始的state值。如:

PC网站:http://graph.qq.com/demo/index.jsp?code=9A5F************************06AF&state=test

WAP网站:http://open.z.qq.com/demo/index.jsp?code=9A5F************************06AF&state=test

注意:此code会在10分钟内过期。

2. 如果用户在登录授权过程中取消登录流程,对于PC网站,登录页面直接关闭;对于WAP网站,同样跳转回指定的回调地址,并在redirect_uri地址后带上usercancel参数和原始的state值,其中usercancel值为非零,如:

http://open.z.qq.com/demo/index.jsp?usercancel=1&state=test

错误码说明

接口调用有错误时,会返回code和msg字段,以url参数对的形式返回,value部分会进行url编码(UTF-8)。

PC网站接入时,错误码详细信息请参见:100000-100031:PC网站接入时的公共返回码

WAP网站接入时,错误码详细信息请参见:6000-6999:获取Authorization Code时,发生错误

Step2:通过Authorization Code获取Access Token

请求地址

PC网站:https://graph.qq.com/oauth2.0/token

WAP网站:https://graph.z.qq.com/moc2/token

请求方法

GET

请求参数

请求参数请包含如下内容:

参数 是否必须 含义
grant_type 必须 授权类型,在本步骤中,此值为“authorization_code”。
client_id 必须 申请QQ登录成功后,分配给网站的appid。
client_secret 必须 申请QQ登录成功后,分配给网站的appkey。
code 必须 上一步返回的authorization code。

如果用户成功登录并授权,则会跳转到指定的回调地址,并在URL中带上Authorization Code。

例如,回调地址为www.qq.com/my.php,则跳转到:

http://www.qq.com/my.php?code=520DD95263C1CFEA087******

注意此code会在10分钟内过期。

redirect_uri 必须 与上面一步中传入的redirect_uri保持一致。

 

返回说明

如果成功返回,即可在返回包中获取到Access Token。 如:

access_token=FE04************************CCE2&expires_in=7776000&refresh_token=88E4************************BE14

参数说明 描述
access_token 授权令牌,Access_Token。
expires_in 该access token的有效期,单位为秒。
refresh_token 在授权自动续期步骤中,获取新的Access_Token时需要提供的参数。

 

错误码说明

接口调用有错误时,会返回code和msg字段,以url参数对的形式返回,value部分会进行url编码(UTF-8)。

PC网站接入时,错误码详细信息请参见:100000-100031:PC网站接入时的公共返回码

WAP网站接入时,错误码详细信息请参见:7000-7999:通过Authorization Code获取Access Token时,发生错误

 

Step3:(可选)权限自动续期,获取Access Token

Access_Token的有效期默认是3个月,过期后需要用户重新授权才能获得新的Access_Token。本步骤可以实现授权自动续期,避免要求用户再次授权的操作,提升用户体验。

请求地址

PC网站:https://graph.qq.com/oauth2.0/token

WAP网站:https://graph.z.qq.com/moc2/token

请求方法

GET

请求参数

请求参数请包含如下内容:

参数 是否必须 含义
grant_type 必须 授权类型,在本步骤中,此值为“refresh_token”。
client_id 必须 申请QQ登录成功后,分配给网站的appid。
client_secret 必须 申请QQ登录成功后,分配给网站的appkey。
refresh_token 必须 Step2中,返回的refres_token。

 

返回说明

如果成功返回,即可在返回包中获取到Access Token。 如:

access_token=FE04************************CCE2&expires_in=7776000&refresh_token=88E4************************BE14。

 

参数说明 描述
access_token 授权令牌,Access_Token。
expires_in 该access token的有效期,单位为秒。
refresh_token 在授权自动续期步骤中,获取新的Access_Token时需要提供的参数。

 

错误码说明

接口调用有错误时,会返回code和msg字段,以url参数对的形式返回,value部分会进行url编码(UTF-8)。

PC网站接入时,错误码详细信息请参见:100000-100031:PC网站接入时的公共返回码

WAP网站接入时,错误码详细信息请参见:7000-7999:通过Authorization Code获取Access Token时,发生错误

About 智足者富

http://chenpeng.info

发表评论

电子邮件地址不会被公开。 必填项已用*标注

您可以使用这些HTML标签和属性:

<a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>