Android 游戏接入第三方渠道账号登录的问题

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

已注册用户请登录

这是一个创建于 3595 天前的主题，其中的信息可能已经有所发展或是发生改变。

Android 游戏接入第三方渠道登录的问题。看了多个渠道的 SDK 文档，流程一般是这样的：
1 、 Andorid 客户端调用 SDK 登录方法，弹出登录界面；
2 、用户输入用户名密码，点登录按钮；
3 、 SDK 拿到用户输入的用户名密码，去渠道服务器校验；
4 、校验成功后返回 uid 和 token ；
5 、 Andorid 客户端拿到 uid 和 token ；
6 、 Andorid 客户端将 token 发送到 APP 服务器；
7 、 APP 服务器拿到 token ，发送 token 到渠道服务器去校验 token ；
8 、校验 token 成功，将结果返回给 Andorid 客户端；
9 、登录成功。

本人之前是做 Web 开发没做过 Andorid ，对以上流程有疑问。
为什么需要第 6~8 步骤，才能判断用户登录成功？去掉上面 6~8 ，已经校验过用户名和密码，客户端只要拿到 uid ，这个 uid 是否就可以直接使用？不去服务器端校验一下 token 会有什么安全问题吗？

下面给出一些 SDK 登录的流程图或文档：
联想： https://sfault-image.b0.upaiyun.com/154/446/1544465647-57691615c3707_articlex
豌豆荚：
https://sfault-image.b0.upaiyun.com/400/012/4000123801-5769167f5d933_articlex
https://sfault-image.b0.upaiyun.com/236/117/23611716-5769168b68b14_articlex

1 条回复 2016-06-22 10:45:27 +08:00

torchmu

2016 年 6 月 22 日

第 4 步的校验只是渠道服务器的结果， APP 服务器并不能掌握这一次校验有效性，你可以抽象的把第 4 步当做是 app 本地的一个校验过程。通常本地验证都是不可靠的。这样的话，必须 6~8 步让自己的服务器去主动和渠道服务器做校验，保证第 4 步获取的结果是真实可信的。