安卓QQ登录的服务器端处理，核心是拿前端返回的Authorization Code换取Access Token，再通过Token获取OpenID，完成用户身份校验与绑定。整个过程走的是OAuth 2.0授权码模式，服务器端是唯一能安全持有App Secret的地方，所以这一步必须放在后端，不能写在安卓客户端里。
QQ登录服务器端验证流程是怎样的
很多人初次接触安卓QQ登录,以为前端调起QQ授权弹窗，拿到用户信息就算完事，前端只完成“用户授权”这一步，真正决定登录成败的，是服务器端和腾讯开放平台之间的三次交互。
第一步：前端拿到授权码
用户在安卓App里点击“QQ登录”，SDK会拉起QQ客户端或网页授权页，用户同意后，SDK通过回调返回一个Authorization Code，这个Code有效期只有约10分钟，且只能使用一次，前端拿到Code后，需要马上传给自己的服务器。
这里有个容易踩的坑：有些开发图省事，直接让客户端用Code去换Token，但App Secret必须保存在服务器端，一旦打包进APK，反编译就能被扒出来，行业共识是，所有涉及密钥的操作都只能在服务器端完成。
第二步：服务器用Code换Token
服务器收到前端传来的Code后,主动向腾讯接口发起请求，请求方式和参数如下：
- 请求地址：
https://graph.qq.com/oauth2.0/token - 请求方法：GET
- 必传参数：
grant_type=authorization_code、client_id（即App ID）、client_secret（即App Key）、code、redirect_uri（需与申请时填写的一致）
返回格式通常是access_token=...&expires_in=...，服务器解析出Access Token后，继续下一步。
这个环节常见错误是Code已经过期或重复使用,建议服务器在收到Code时先落日志，再根据返回结果决定是否重试，而不是直接把错误抛给前端。
第三步：获取OpenID并拉取用户信息
拿到Token后,服务器需要再请求一次获取OpenID的接口：
- 请求地址：
https://graph.qq.com/oauth2.0/me - 必传参数：
access_token
返回的数据是类似callback( {"client_id":"...","openid":"..."} )的JSONP格式，需要先截取括号内的JSON再解析，得到OpenID后，服务器可以用它拼接用户头像、昵称等信息的请求地址，也可以直接把它作为用户唯一标识。
安卓QQ登录接口对接教程：从拿到Code开始
下面按操作顺序,写一份服务器端可落地的对接步骤，以Java后端为例，其他语言思路相同。
明确前后端分工
- 安卓端：负责调用
Tencent和IUiListener，初始化SDK，监听授权回调，在onComplete里取出code，通过自己的接口POST给后端。 - 服务器端：负责换取Token、获取OpenID、查询用户信息，并维护登录态（生成自己的Session或JWT）。
服务器端换取Token的标准写法
伪代码逻辑如下：
- 接收请求参数
code和deviceId。 - 校验
code是否为空，以及redirect_uri是否在白名单内。 - 发起HTTP GET请求到Token接口。
- 解析响应,若包含
access_token则继续，否则返回错误码。
// 示例：使用OkHttp发起请求
String url = "https://graph.qq.com/oauth2.0/token?grant_type=authorization_code&client_id=" + appId
+ "&client_secret=" + appKey + "&code=" + code + "&redirect_uri=" + redirectUri;
String response = okHttpClient.newCall(new Request.Builder().url(url).build()).execute().body().string();
注意：redirect_uri在安卓QQ登录里通常填http://www.qq.com或申请时填写的地址，必须与该App ID的配置完全一致，否则会报redirect_uri is not valid。
解析OpenID的注意事项
腾讯返回的callback包裹格式让不少新手卡壳，正确解析方式是：
String json = response.substring(response.indexOf("{"), response.lastIndexOf("}") + 1);
JSONObject obj = new JSONObject(json);
String openid = obj.getString("openid");
拿到OpenID后,建议将它与App ID拼接成本应用内的唯一用户key（例如appId + "_" + openid），避免不同应用间OpenID冲突。
服务器端配置与安全校验要点
安卓QQ登录的服务器端开发,不能只做到“能登进去”，还必须在安全性和账号体系设计上做完整。
校验state参数防CSRF
腾讯开放平台支持在发起授权时携带自定义的state参数，安卓端在调起SDK前，本地生成一个随机字符串，自己服务器也保存一份，授权回调时，后端比对state是否与当前会话一致，不一致就拒绝登录，这一步能防止攻击者诱导用户点击恶意授权链接。
Token与OpenID的缓存策略
Access Token有效期通常为30天，但每个Token都有对应权限范围，服务器端建议把Token存入Redis，同时绑定openid和过期时间，下次该用户再次登录时，如果Token未过期且授权范围足够，可以直接复用，减少一次网络请求。
处理UnionID实现多应用互通
如果公司有多款App,都接入QQ登录，使用getUnionID可以拿到全局唯一标识，服务器端在换取Token时，腾讯会额外返回unionid，需要在管理后台申请开通“UnionID机制”，否则只能拿到单应用OpenID。
安卓QQ登录服务器端开发常见问题
开发过程中,大家问得最多的是下面这几个问题，我直接整理了现象、原因和对策。
| 常见报错 | 可能原因 | 服务器端对策 |
|---|---|---|
100016 |
App Key与App ID不匹配 | 核对腾讯互联后台配置，确认密钥复制无空格 |
100030 |
用户取消授权或Code无效 | 检查Code是否被使用过，并引导用户重新授权 |
redirect_uri is not valid |
回调地址与后台填写不一致 | 统一前后端配置的redirect_uri，安卓端不要自定义回调 |
parse error |
接口返回非预期格式 | 先打印原始响应，确认网关是否拦截了HTTPS请求 |
| Token频繁失效 | 服务器时钟偏差 | 校准服务器时间，开启NTP自动同步 |
有几个隐性坑需要提醒：
- 服务器请求腾讯接口时,务必设置合理的超时时间，建议3-5秒，腾讯接口偶发变慢，超时太短会导致登录链路闪断。
- 日志要脱敏,不能打印完整
access_token和app_secret，用前几位后几位展示即可。 - 生产环境必须开HTTPS,否则Code在传输过程中可能被截获。
安卓QQ登录服务器端接入后的账号体系设计
登录不是终点,账号绑定才是服务器端真正要做的核心活儿。
首次登录的自动注册
当用户第一次通过QQ授权进来,服务器拿到OpenID后，应该先查询用户表是否存在该标识，如果不存在，可以自动创建一个新用户，这里要注意，QQ昵称和头像不能直接信任，需要重新从腾讯接口拉取用户资料，而不是用前端传来的数据。
绑定已有手机号账号
很多App要求用户绑手机号,服务器端在自动注册时不应该强制绑定，可以先给一个临时的guest身份，用户后续在“设置-账号安全”里手动绑定已有手机号，就能合并两个账号下的订单或数据，合并逻辑要考虑多端同步，避免数据覆盖。
多端登录的会话管理
用户可能在安卓手机、平板、网页上同时登录QQ账号，服务器端要维护每个设备对应的Token和OpenID映射，建议用userId + deviceId作为会话维度的Key，而不是简单存一个全局登录态，这样用户在一台设备退出，不影响其他设备。
常见问题解答
服务器端如何判断用户是否已绑定QQ？
通过OpenID查询用户表,如果qq_openid字段有值且关联的用户ID存在，说明已绑定，没有则视为新用户，走注册或补充绑定流程。
安卓QQ登录的Access Token过期后，服务器端怎么让用户重新登录？
不能自动续期,服务器端收到腾讯接口返回的Token失效错误后，应返回特定错误码给前端，前端重新调起QQ授权，获取新的Code，服务器再用新Code换新Token。
安卓QQ登录与微信登录在服务器端的处理有什么不同？
两者流程基本一致,都是授权码模式，区别在于QQ的OpenID只对单应用唯一，微信的UnionID需要账号体系已绑定开放平台才能获取，腾讯QQ互联的接口返回格式有时是JSONP风格，微信则直接返回JSON，开发时需分别适配解析逻辑。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/723574.html
