登錄的業(yè)務(wù)邏輯
{
http:是短連接.
服務(wù)器如何判斷當(dāng)前用戶是否登錄?
// 1. 如果是即時通信類:長連接.
// 如何保證服務(wù)器跟客戶端保持長連接狀態(tài)?
// "心跳包" 用來檢測用戶是否在線!用來做長連接!
http:短連接使用token 機制來驗證用戶安全性
// token 值: 登錄令牌! 用來判斷當(dāng)前用戶的登錄狀態(tài)!
// token 值特點: 是一個字符串/大整數(shù),只需要保證唯一性.是服務(wù)器根據(jù)用戶的信息(賬號/密碼/身份認(rèn)證機制(電話號/身份證號/支付寶賬號/銀行卡信息)...)來生成的用于標(biāo)識用戶身份的值!
// token 值獲取:
// 當(dāng)用戶首次登錄成功之后, 服務(wù)器端就會生成一個 token 值.
1.會在服務(wù)器保存token值(保存在數(shù)據(jù)庫中)
2.將這個token值返回給客戶端.
// 客戶端拿到 token 值之后,一般保存在兩個位置 :
1. 將 token 保存在 cookie 中;
2.將 token 保存在沙盒中,作為一個公共參數(shù)傳遞.
// 公共參數(shù): 每一個網(wǎng)絡(luò)請求都需要的參數(shù)! 一般公共參數(shù)有很多都是"可選"參數(shù)!,公共參數(shù)附帶的越多,越利于后臺監(jiān)測用戶,數(shù)據(jù)挖掘會使用到監(jiān)測到的數(shù)據(jù).
// 以后客戶端再次發(fā)送網(wǎng)絡(luò)請求(一般不是登錄請求)的時候,就會將這個 token 值附帶到參數(shù)中發(fā)送給服務(wù)器.
// 服務(wù)器接收到客戶端的請求之后,會取出token值與保存在本地(數(shù)據(jù)庫)中的token值做對比!
// 如果兩個 token 值相同 :說明用戶登錄成功過!當(dāng)前用戶處于登錄狀態(tài)!
// 如果沒有這個 token 值, 沒有登錄成功.
// 如果 token 值不同: 說明原來的登錄信息已經(jīng)失效,讓用戶重新登錄.
// token 值失效問題: 1. token 值有失效時間!
{
token的有效時間:
{
1. 如果 app 是新聞類/游戲類/聊天類等需要長時間用戶粘性的. 一般可以設(shè)置1年的有效時間!
2. 如果 app 是 支付類/銀行類的. 一般token只得有效時間比較短: 15分鐘左右!
}
}
// token 值失效問題: 2. token 值用來做設(shè)備唯一性登錄判斷!
{
每次登錄之后,無論用戶密碼是否改變,只要調(diào)用登錄接口并且登錄成功,都會在服務(wù)器生成新的token值,原來的token值就會失效!
典型的 app : 打車軟件類
}
拓展: 多態(tài)設(shè)備同時登錄. 設(shè)備唯一性登錄!
{
如果允許多臺設(shè)備同時登錄? ，并且可以設(shè)置最大的登錄數(shù)量的時候左胞。比如說QQ：允許在電腦客戶端登錄蔗候，QQ手機端登錄, QQ網(wǎng)頁端登錄
如果超出這三個端 想要再另外 一個相同的端登錄暴心，需要使對應(yīng)的端的token失效眶蕉，來保證一個端 一個賬號只登錄一次闻牡。
可以設(shè)置多個token 根據(jù)登錄端不同 冠胯，來檢測token 是否過期阀蒂。 根據(jù)登錄的數(shù)量 可以判斷最大支持多少個設(shè)備同時登錄
}
}
一，OAuth2.0授權(quán)協(xié)議：
簡述：一種安全的登陸協(xié)議酌心，用戶提交的賬戶密碼不提交到本APP娩缰，而是提交到授權(quán)服務(wù)器，待服務(wù)器確認(rèn)后谒府，返回本APP一個訪問令牌拼坎，本APP即可用該訪問令牌訪問資源服務(wù)器的資源。由于用戶的賬號密碼并不與本APP直接交互完疫，而是與官方服務(wù)器交互泰鸡，因而它是安全的。
圖示：
流程：
1壳鹤，獲取未授權(quán)的Request Token盛龄。
url:request token url。
param：appKey/appSecret芳誓，簽名方法/簽名（如HMAC-SHA1）余舶，timeStamp（時間戳：距1970/0/0/0/0/0的秒數(shù)），nonce（隨機生成的string锹淌，防止重復(fù)請求）
response：Oauth_Token/Oauth_Secret
2匿值，獲取用戶授權(quán)的Request Token。
url:user authorizition url赂摆。
param：Oauth_Token(上個步驟返回的令牌）挟憔，callback_url（授權(quán)成功后返回的地址）
response：Oauth_Token（被用戶授權(quán)或否決的令牌）
3，用已授權(quán)的Request Token換取AccessToken烟号。
url：access token url绊谭。
param：appKey，Oauth_Token（上個步驟返回的令牌）汪拥，簽名达传，TimeStamp，nonce
response：Access_Token/Secret
二迫筑，新浪微博的implementation（以iOS sdk為例）宪赶。
1，先封裝下列參數(shù)：
NSDictionary *params = [NSMutableDictionarydictionaryWithObjectsAndKeys:
self.appKey, @"client_id",
@"code", @"response_type",
self.appRedirectURI, @"redirect_uri",
@"mobile", @"display", nil];
appKey和AppSecret在申請第三方APP的時候即可得到铣焊。appRedirectURI只對網(wǎng)頁應(yīng)用有效逊朽，所以這里可以隨便填一個或者使用默認(rèn)的。
response_type為code表面其希望返回的是一個授權(quán)碼（相當(dāng)于上述的未授權(quán)的Request Token）曲伊。
display應(yīng)該是指該請求是移動app的請求叽讳。
然后啟動一個WebView，請求url：https://open.weibo.cn/2/oauth2/authorize坟募，帶上述參數(shù)岛蚤，方法為get。
形成的url如：https://open.weibo.cn/2/oauth2/authorize懈糯？client_id=1213792051&response_type=code&
redirect_uri=https%3A%2F%2Fapi.weibo.com%2Foauth2%2Fdefault.html&display=mobile
接著就進入了要求輸入賬號密碼的頁面
輸入賬號密碼后,以post方式往https://open.weibo.cn/2/oauth2/authorize發(fā)送請求
出現(xiàn)授權(quán)或請求的按鈕涤妒，至此完成第一部分。
疑問：協(xié)議中的未授權(quán)的request token在這里是哪個實體赚哗？還是新浪把它弱化掉了她紫，也可能是緩存在webview中硅堆。
2，點擊授權(quán)按鈕之后贿讹，就可以得到Authorization Code了渐逃，該授權(quán)碼相當(dāng)于以授權(quán)的Request Token。
3民褂，封裝參數(shù)
NSDictionary *params = [NSDictionarydictionaryWithObjectsAndKeys:
self.appKey, @"client_id",
self.appSecret, @"client_secret",
@"authorization_code", @"grant_type",
self.appRedirectURI, @"redirect_uri",
code, @"code", nil];
請求url：https://open.weibo.cn/2/oauth2/access_token茄菊，方法post，加上述參數(shù)赊堪，通過NSURLConnection發(fā)送請求
返回的data就包含access token面殖，當(dāng)然會判斷下該token是否還合法，有效哭廉，過期脊僚，成功的話會save住下面4個字段。
NSString *access_token = [authInfo objectForKey:@"access_token"];
NSString *uid = [authInfo objectForKey:@"uid"];
NSString *remind_in = [authInfo objectForKey:@"remind_in"];
NSString *refresh_token = [authInfo objectForKey:@"refresh_token"];
4群叶，以后在請求資源時吃挑，就會加上access_token了。
三街立，SSO技術(shù)舶衬。
簡述：SSO全場Single Sign On,用戶只需登陸一次即可訪問相互信任的子系統(tǒng)。用戶訪問系統(tǒng)1時赎离，登陸成功后會返回一個ticket,當(dāng)用戶訪問系統(tǒng)2時逛犹，會把ticket帶上，待驗證合法后即可訪問系統(tǒng)2梁剔。聽起來跟cookie有點像虽画，沒錯，Web-SSO便有基于cookie的實現(xiàn)方案荣病。很多手機APP在點擊新浪授權(quán)時码撰，會跳到新浪客戶端的登陸頁面，這里就用到SSO技術(shù)啦个盆。
在本APP授權(quán)新浪微博時脖岛，會先檢測手機是否安裝了新浪微博客戶端。
[[UIApplicationsharedApplication] openURL：xxx]可以打開另一個APP颊亮。這里sinaweibosso://login為客戶端的url并傳遞三個參數(shù)柴梆，AppKey，RedirectURI终惑，ssoCallbackScheme绍在。
ssoCallbackScheme是返回的App Url地址，即自己定義的sinaweibosso.appKey。
登陸成功后偿渡，客戶端會直接把AccessToken返回給本App臼寄。至于在客戶端那邊發(fā)生了哪些交互，暫時不得而知溜宽。
