为什么QQ登录开发者审核失败？QQ登录申请流程详解

1. 访问开放平台：前往QQ互联官方网站。
2. 注册/登录开发者账号：使用QQ号登录，完成开发者资质认证（通常需要实名认证）。
3. 创建应用：
   • 在开发者控制台选择“创建应用”。
   • 选择应用类型（网站应用、移动应用等）。
   • 填写应用基本信息：应用名称、简介、图标、应用分类等。名称和简介需清晰描述应用功能，避免模糊或违规词汇。
   • 填写网站应用关键信息（以网站为例）：
     • 网站地址：你的网站主页URL（如https://www.yourdomain.com）。
     • 回调地址(CallbackURL/redirect_uri)：这是核心安全设置！填写你的服务器端处理QQ授权返回码(code)的API地址（如https://www.yourdomain.com/api/qq/callback），此地址必须与后续请求中传递的redirect_uri参数完全一致（包括协议http/https、域名、端口、路径），否则授权失败，QQ互联会校验此地址的域名是否与应用登记的网站地址主域名一致。
     • 其他信息根据提示填写。
4. 提交审核：填写完毕后提交应用信息，等待QQ互联审核，审核通过后，你将获得至关重要的凭据：
   • APPID：应用的唯一标识。
   • APPKey：应用密钥，等同于密码，必须严格保密，仅用于服务器端通信。

理解OAuth2.0授权流程（AuthorizationCodeGrant）

QQ登录采用标准的OAuth2.0授权码模式,流程清晰安全：

1. 前端引导用户至QQ授权页：用户点击你网站/APP上的“QQ登录”按钮。
2. 构造授权请求URL：你的前端代码（或服务器重定向）需要构造指向QQ授权端点的URL，并附带必要参数：

   https://graph.qq.com/oauth2.0/authorize?response_type=code&client_id=你的APP_ID&redirect_uri=你注册的回调地址URL编码&state=自定义随机字符串&scope=get_user_info

   • response_type=code：固定值,表示请求授权码。
   • client_id：你的APPID。
   • redirect_uri：必须与注册时填写的一致,并进行URL编码。
   • state：强烈建议生成一个不可预测的随机字符串（如UUID）并存储（如Session）。它用于防止跨站请求伪造(CSRF)攻击，QQ授权后会将此值原样返回，你需要验证返回的state是否与你之前存储的一致。
   • scope：请求的权限范围。get_user_info是获取用户基本信息的必要权限，后续如需其他权限（如获取OpenID对应QQ号get_qq）,需申请并通过审核。
3. 用户登录与授权：用户被重定向到QQ登录页面，用户输入QQ账号密码登录（如未登录QQ）,并确认授权给你的应用访问其基本信息。
4. QQ返回授权码：用户授权后，QQ服务器将重定向用户回到你注册的redirect_uri，并在URL查询参数中附带code（授权码）和之前传递的state：

   https://www.yourdomain.com/api/qq/callback?code=ABCDEFG12345&state=你之前生成的随机字符串

5. 后端使用Code换取AccessToken：你的服务器端代码（安全环境）需要接收这个code和state。
   • 验证State：立即校验返回的state参数是否与你之前存储在Session或缓存中的值匹配，不匹配则终止流程（可能是CSRF攻击）。
   • 请求AccessToken：使用code向QQ的令牌端点发起服务器到服务器的HTTPSPOST/GET请求：

     https://graph.qq.com/oauth2.0/token?grant_type=authorization_code&client_id=你的APP_ID&client_secret=你的APP_KEY&code=用户授权返回的code&redirect_uri=你注册的回调地址URL编码

     • grant_type=authorization_code：固定值。
     • client_id,client_secret：你的APPID和APPKey。
     • code：上一步获取的授权码。
     • redirect_uri：必须与第一步请求授权码时使用的redirect_uri完全一致。
6. 解析Token响应：QQ服务器会返回数据，成功时返回的是一个查询字符串格式的文本：

   access_token=YOUR_ACCESS_TOKEN&expires_in=7776000&refresh_token=YOUR_REFRESH_TOKEN

   • access_token：访问令牌,用于后续调用OpenAPI。
   • expires_in：访问令牌有效期（秒）,通常90天。
   • refresh_token：刷新令牌，用于在access_token过期后获取新的access_token（有效期通常更长，如半年）。
7. （可选）获取OpenID：access_token本身不包含用户标识，你需要用access_token请求获取用户在此应用下的唯一标识openid：

   https://graph.qq.com/oauth2.0/me?access_token=YOUR_ACCESS_TOKEN

   响应是JSONP格式（默认为callback(...);）或纯JSON（需指定fmt=json参数），解析响应获取openid:

   callback({"client_id":"YOUR_APP_ID","openid":"YOUR_USER_OPENID"});//或使用fmt=json//https://graph.qq.com/oauth2.0/me?access_token=YOUR_ACCESS_TOKEN&fmt=json{"client_id":"YOUR_APP_ID","openid":"YOUR_USER_OPENID"}

   openid是用户在你这应用下的唯一标识，同一用户在不同APP下的openid不同。