在腾讯文档 可以扫描小程序码登录。扫描后微信打开小程序的同时，Web 端也登录了这种方式挺有新颖的，还能给小程序引流有心人可以发掘下更多玩法，不过今天峩想讨论另外一个问题

上文的 Web 扫码登录，这并不是 OAuth 授权方式这应该是通过小程序码的 实现的： Web 端登录扫描二维码码是带参数的场景扫描二维码码，打开小程序的时候小程序接收到自定义参数，后端找到对应的 Web 会话完成登录。

这里的问题是扫描场景扫描二维码码打開腾讯文档小程序的时候，该小程序里并没有任何关于正在登录 Web 端的提示与扫描普通扫描二维码码的交互无异；而且普通的小程序码和帶参数的小程序码，单独看是没办法分辨的普通用户更加不会留意。

这其中就有了安全风险了：

1. 我打开腾讯文档 Web 端拷贝登录扫描二维碼码备用
2. 发送微信给某人，编一段话术诱导扫描扫描二维码码
3. 对方扫描进入小程序，这时我已经窃取对方文档了对方毫不知情

每次扫描登录 Web 端，小程序应该给出提示并且可以显示所有会话信息，提供「下线」操作

这是一个专为移动设备优化的页面（即为了让你能够茬 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论你可以继续到 上打开本讨论主题的完整版本。

是创意工作者们的社区是一個分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方