手机号码授权登录记录（十分钟搞懂手机号码一键登录）
手机号码一键登录是最近两三年出现的一种新型应用登录方式，比之前常用的短信验证码登录又方便了不少登陆时，应用首先向用户展示带有本机号码掩码的授权登录页面，用户点击“同意授权”的按钮之后，应用即可获取到完整的本机号码，从而完成用户的登录认证在这个过程中，应用只要确认登录用的手机号码是在绑定了此号码的手机上发起的即可认证成功，从这一点来看，它和短信验证码登录并无本质区别，都是一种设备认证登录方式这篇文章就来捋一下其中的技术门道，下面我们就来说一说关于手机号码授权登录记录?我们一起去了解并探讨一下这个问题吧!
手机号码授权登录记录
手机号码一键登录是最近两三年出现的一种新型应用登录方式，比之前常用的短信验证码登录又方便了不少。登陆时，应用首先向用户展示带有本机号码掩码的授权登录页面，用户点击“同意授权”的按钮之后，应用即可获取到完整的本机号码，从而完成用户的登录认证。在这个过程中，应用只要确认登录用的手机号码是在绑定了此号码的手机上发起的即可认证成功，从这一点来看，它和短信验证码登录并无本质区别，都是一种设备认证登录方式。这篇文章就来捋一下其中的技术门道。
这几年为了保护用户的隐私安全，Android和iOS系统都限制了应用获取本机号码的能力，即使通过某些技术手段获取到了本机号码，这个号码还可能是被篡改的，所以应用直接读取本机号码用于登录是不可行的。那么这些应用是怎么获取到真实的本机号码的呢？答案是电信运营商，手机要打电话、要上网、要计费，运营商肯定能对应到正确的手机号码。国内的运营商就是移动、联通、电信这三家，它们都开放了这种能力。对于在互联网大潮中被管道化的运营商来说，不失为一种十分有意义的积极进取。
手机流量上网的原理手机号码一键登录是借助手机流量上网来实现的，所以先要搞清楚流量上网的原理。
目前网上已有很多关于一键登录的技术文章，但是内容基本雷同，关于获取手机号码的部分，所述都是通过运营商的数据网关能力，语焉不详，对于有追求的技术人来说，难以忍受。这个章节就来介绍下这种从数据网关获取手机号码的能力是如何实现的，因为通信专业知识十分繁杂，我也没有经过专业的学习，大家也不想接触到很多的专业名词，所以这里只保留一些关键的专业名词，尽量以通俗易懂的方式来理清这个机制。
五层网络模型对网络比较熟悉的同学，应该了解五层协议，那么手机流量上网时的五层网络模型有何不同呢？
从上图可以看出，手机流量上网的主要区别在数据链路层和物理层。在数据链路层，流量上网没有MAC地址的概念，它采用一种点对点协议（PPP），手机端通过拨号方式建立这种PPP连接，然后发送数据。在物理层，流量上网通过手机内置的基带模块进行无线信号的调制、解调工作，从而实现与移动基站之间的电磁波通信。
流量上网的机制点对点协议支持身份验证功能，手机端发起连接时会携带自己的身份证明，一般就是手机卡内置的IMSI，这个IMSI也会保存在运营商的数据库中，因此基站就可以验证连接用户的身份，当然这个验证过程不是简单的对比IMSI，会有更多安全机制。为了更清楚的了解流量上网机制，下面再来一张4G流量上网时手机与运营商的交互示意图：
核心组件手机：这其中对流量上网起到关键作用的就是手机卡和基带模块。手机卡中保存了IMSI，全称International Mobile Subscriber Identification Number，国际移动用户识别码。IMSI是手机卡的身份标识。
基站：就是外边常见的铁架子信号塔，是一种能覆盖一定范围的无线电收发信息电台，手机会连接到它，然后它再通过光纤连接到运营商网络，从而实现移动通信。
MME：Mobility Management Entity，移动控制单元。手机建立连接时会先访问到这里，负责：手机与基站的接入控制，手机卡的鉴权、会话管理、安全传输，漫游控制、跨运营商通信等。
HSS：Home Subscriber Server，归属签约用户服务器。保存本地签约的手机卡信息，包括手机卡IMSI与手机号的对应关系，手机号的套餐信息、手机号的归属地信息等。
S-GW：Service Gateway，服务网关。4G环境下，用户侧与运营商核心网之间的业务网关。访问能不能进入，能做什么业务，去哪里做业务，是在这里控制的。跨运营商计费、漫游计费等也在这里完成。
P-GW：PDN Gateway，PDN网关。运营商核心网与互联网之间的网关，手机真正上网就是通过它了。它会给手机分配一个IP地址，控制上网的速度，对流量进行计费等。
PCRF：Policy and Charging Rules Function，策略与计费控制单元，保存每个用户的网络访问策略和计费规则。
上网过程为了方便理解，这里将上网的过程大致分为两个部分（和上图的1、2对应）：
以上就是手机流量上网的基本原理了，可以看到，运营商通过IMSI或者GUTI完全有能力获取到当前上网用户的手机号码。对于运营商的一键登录具体是怎么实现的，我并没有找到相关的介绍，但是可以设想下：手机应用通过运营商的SDK发起获取手机号码的业务请求，此时会携带IMSI或者GUTI，业务请求到达S-GW，S-GW鉴权通过，然后将这个业务请求路由到运营商核心网中获取手机号码的服务，服务根据业务规则从HSS中取出手机号码并进行若干处理。
一键登录的原理理解了手机流量上网的原理，再来看下一键登录业务是如何实现的，这个部分属于上层应用程序开发，大家应该相对熟悉一些。
如果你接入过微信的第三方应用登录，或者其他类似的第三方应用登录，过程是差不多的。还是先来看图：
这里对一些关键步骤进行说明：
这里其实还有一个安全问题：
14登录请求：用户如果随便造一个认证Token，然后就向应用服务提交请求，应用服务再向认证服务提交请求，这属于一种跨站攻击。虽然这个Token可以被阻止，但是不免浪费资源，给服务端带来压力。
这一点微信第三方应用登录做得比较好，用户登录前，应用服务端先生成一个随机数，然后应用前端向应用服务端提交时，带着这个随机数，应用服务端可以验证这个随机数。
号码验证场景
除了用于登录，运营商网关的这种取号能力，还可以用在验证手机号上，在某些关键业务上，比如支付过程中，要求用户输入本机手机号码或者其中的某几位，然后通过运营商认证服务验证手机号是否本机号码。
隐私保护问题设备唯一标识问题现在大家对隐私问题关注得越来越多了，经常会出现这种情况：你在某电商网站搜索了某个商品，然后访问其它网站时，都向你推荐这类商品的广告。还有一种感觉很恐怖的情况，你刚和某个人谈论了某件事，然后就在某个App上看到了关于这件事的推荐，有人猜测是App在偷听，不过基于目前的舆论和监督，偷听风险太大，这其中的原因可能真的只是算法太厉害了。
最近几年Android和iOS系统都对App获取手机唯一标识进行了限制，比如IMEI、Mac地址、序列号、广告Id等，目的就是防止用户的信息在多个App之间进行关联，导致泄漏用户的隐私，产生一些安全问题和法律风险，前述跨App的广告行为也自然受到了抑制。
在了解一键登录的技术原理时，看到某运营商提供了一种和SIM卡绑定的设备唯一Id服务，宣传语就是为了应对移动操作系统限制访问手机唯一标识的问题，在现今越来越重视隐私保护的前提下，如果这种能力开放给了广告平台，就是开历史的倒车了。
手机号作为身份标识的问题对于国内普遍使用手机号登录的方式，从技术上很难限制App之间进行手机号关联，然后综合分析用户的行为。比如某家大厂运营了多款不同种类的热门App，它就有能力更全面的了解某个用户，如果要限制可能就得通过法律层面来解决了。至于不同厂商之间的手机号关联行为，基于商业利益的保护，不太可能会出现。
在国内这种商业环境下，如果你真的对自己的隐私很关注，最好只使用账号密码的方式登录，否则经常更换手机号可能是一种没办法的办法。
手机号重新销售问题手机号的总量是有限的，为了有效利用手机号资源，手机号注销以后，经过一段时间就会被运营商重新销售。如果新的手机号拥有者拿着这个手机号登录某个APP，而这个手机号之前已经在这个App上注册过，产生了大量的使用记录，那么此手机号前拥有者的隐私就会被泄漏。所以大家现在都不太敢随便更换手机号，因为注册过的地方太多了，留下了数不清的使用痕迹。
在了解一键登录的技术原理时，还看到某运营商提供了一种“手机号更换绑定SIM卡通知”的服务，应用可以据此解绑重新销售的手机号与应用账号之间的关系，从而保护用户的隐私。在上文中已经提过手机卡使用IMSI进行标识，如果手机号被重新销售，就会绑定新的IMSI，运营商可以据此产生通知。当然运营商还需要排除手机卡更换和携号转网的情况，这些情况下手机号也会绑定新的IMSI。
不得不说运营商的这个服务还是挺赞的。
以上就是本文的主要内容了，因本人才疏学浅，如有错漏，欢迎指正。
免责声明：本文仅代表文章作者的个人观点，与本站无关。其原创性、真实性以及文中陈述文字和内容未经本站证实，对本文以及其中全部或者部分内容文字的真实性、完整性和原创性本站不作任何保证或承诺，请读者仅作参考，并自行核实相关内容。文章投诉邮箱：anhduc.ph@yahoo.com
