1. 每打开一次页面的时候会随机生成一个含有唯一uid的微信扫二维码没有反应每次刷新页面都会不一样（这个可以保证一个uid只可以绑定一个账号和密码，如果一個uid可以绑定多个账号和密码那么很可能你的电脑会登陆别人的微信哦）；

2. 当用户使用登陆后的微信扫描该微信扫二维码没有反应的时候，会将这个id和手机上的微信账号及密码绑定并上传到服务器；
微信掃二维码没有反应样例： ，利用我查查之类的微信扫二维码没有反应应用可以得到类似这样的地址但并不会自动打开该地址，微信客户端针对 开头的地址做了特殊处理会自动获取相关信息并提示确认。 在手机版微信访问这个页面进行确认时Server已经同时获得了客户端信息，并通过之前保持的长连接告知浏览器

3. 页面每隔1秒或2秒会get请求该id对应的微信账号及密码，如果id绑定上了微信账号和密码那么就可以请求到账号和密码，就可以自动登陆了

浏览器展示完长连接里包含的用户信息（头像等）后，会新开一个长连接等待客户端的确认操作其 URL 类似 。从安全的角度来说无论如何都不会让客户端获得微信帐号和密码的。要知道密码这玩意腾讯自己都不敢保存（有兴趣的同学鈳以自行了解下 CSDN 明文密码泄露事件），肯定是不可能返回给浏览器的
而且从体感来看，怎么着都不可能是页面1-2秒轮询发起GET请求的实际昰通过堵塞等待的长连接，近乎实时的获得信息 对于验证过程，Open API 一般是通过授权令牌（Token）来解决的原理是当用户通过授权后，分配一個限定条件下的令牌（如限制本机访问、限制授权有效时间、限制同时登录设备数等）使获得授权的用户仅在有限的前提下能访问相关垺务。 像计算机休眠后曾做的授权就自动收回了这样就有效的避免了在别人电脑上（尤其是网吧）打开，但忘记关闭或退出这类安全问題了
同时，整个授权过程的验证部分在手机端进行有效杜绝了 PC 上泛滥的各类木马、『安全工具』的监听，大大降低了帐号被盗的风险

所以说，核心过程应该是：浏览器获得一个临时 id通过长连接等待客户端扫描带有此 id 的微信扫二维码没有反应后，从长连接中获得客户端上报给 server 的帐号信息进行展示 并在客户端点击确认后，获得服务器授信的令牌进行随后的信息交互过程。 在超时、网络断开、其他设備上登录后此前获得的令牌或丢失、或失效，对授权过程形成有效的安全防护