社交账号的认证信息是什么 社交账号登录的艺术

社交账号的认证信息是什么 社交账号登录的艺术

自从有了“社交账号登录”的体验后，少守将军就不再愿意注册新账号了。无需将密码交给陌生网站，非常安全；简单简单的一键登录，极其方便。但这个“社交账号登录”究竟是什么？

在社交活动中，身份认证是一个重要的问题。

在最简单的情况下社交账号的认证信息是什么，朋友和家人彼此认识，因为他们知道彼此的身体特征。我了解你，因为你有我知道的身体特征。如果有一天你去韩国，整个事情都变了，那我很可能不认识你了。

将这种关系代入网络世界的是用户名和密码。用户名的含义是一个语句。如果我提供“蒋军将军”的用户名，那么我就会向系统声明我是解放将军。但并不是每个人都是诚实的。仅仅声明一个人的身份是不够的，所以需要一个密码。密码的含义是系统知道的信息，陈述的主体也必须知道，这个信息是你知道的，没有第三者知道。如果申报人有能力提供此信息，则TA必须是申报人。

但是，这种验证关系非常有限，只适用于有限范围的身份验证。在社会发展过程中，逐渐出现了具有独立性和个人关系的第三方组织，这些地方不能仅仅通过“扫脸”认证。比如我们去银行做生意，需要带上身份证。银行通过身份证上提供的信息，查到了将军是谁，并核实了我的身份。但为什么银行信任身份证？因为身份证是由第三方权威机构国家签发的，这些信息是权威可信的。

但是如果银行选择不相信身份证，而是要求所有客户在银行拍照，然后去银行比对，这样可行吗？理论上，这在一定规模上还是可行的。然而，这有几个缺点。第一，银行需要投入额外的成本来管理客户照片。第二，当客户剃光头和化妆时，银行可能不会认出并拒绝取款。第三，同一客户在不同银行的身份信息很可能不同，大大增加了跨行汇款的难度。如果选择信任第三方机构发布的身份信息，那么上述问题就会迎刃而解。银行会将管理身份信息的问题转交给专业的第三方，以便其可以专心经营自己的业务。

在网络世界中，社交帐户就是这样的第三方。

社交账户的魔力

社交账号承担了管理用户信息的重任，对其他系统保证：“访问你的用户是某某，我体验过真身。”

为了让社交账号能够做到这一点，他们必须依赖这两个与 Open ID 的协议。

其中，是一套授权协议。用户使用本协议即同意第三方使用我的信息。例如，在下图中社交账号的认证信息是什么，当用户点击“确认登录”时，即表示同意腾讯新闻使用用户昵称和头像，并具有代表用户发布朋友圈的能力。

当然，要接受用户的授权，首先要对用户进行身份验证。认证方式不同，有的通过用户名密码，有的通过手机短信，更高级的可能是指纹。基于方法的多样性，不指定验证方法。以腾讯新闻为例，用户已经在使用微信App，微信可以假设用户已经通过验证。

因为是许可协议，所以只负责告知第三方“用户已经同意做A、B、C”，对于用户是谁，提供的信息有限。但是，用户在授权过程中已经通过了身份验证。认证信息丢失不是很可惜吗？基于使用用户认证信息的需要，Open ID 协议诞生了。基于Open ID，进一步将用户在授权过程中的身份信息提供给第三方。

一般来说，告诉第三方系统：“用户同意你这样做”；而Open ID则告诉第三方系统：“同意你做这件事的人是谁”。

协议的艺术

和Open ID抽象了用户认证和授权的问题。在这两个协议的模型中，主要有五个作用：

上面的示意图简明扼要地展示了这个过程：

用户（RO）首先通过媒体（浏览器）访问客户端应用程序（）。

客户端应用程序需要从资源服务器（RS）下载数据，但没有用户的授权，所以它向授权服务器（AS）请求用户的授权。

此时授权服务器会负责验证用户，并通过媒体（浏览器）询问用户是否授权。

如果用户同意授权，授权服务器会通过媒介（浏览器）向客户端应用返回一个访问令牌。此访问令牌代表用户的授权。

客户端应用程序使用访问令牌从资源服务器请求用户的数据。

在验证令牌后，资源服务器将用户的数据返回给客户端应用程序。

在 Open ID 的支持下，授权服务器也会向客户端应用返回一个身份令牌。此令牌包含用户的身份信息。

通过这种方式，几乎奇迹般地允许客户端应用程序从其他系统获取用户数据社交账号的认证信息是什么，而无需自己管理用户数据。其实真正的过程远比这个复杂，只是篇幅有限，又饿了，以后有机会再详细介绍一下。

将军，房子漏水了

Tags：社交账号的认证信息是什么