28圈官网首页时看到第三方授权：授权登录和把密码交给第三方不是一回事

用户研究28圈官网首页相关账号方式时，有时会遇到“使用某账号登录”或“授权第三方应用访问”的界面。正常的第三方授权机制通常由身份提供方完成验证，再向第三方发送有限权限令牌，而不是直接把主账号密码交给第三方。不过是否真的采用这种标准机制，需要看实际跳转页面和权限说明，不能仅凭按钮文案判断。

28圈官网首页相关第三方授权先看权限列表

授权页面通常会写明第三方想读取哪些资料，例如基础身份、邮箱或其他账号信息。用户应逐项判断这些权限是否与功能相符。如果一个简单登录功能却要求大量无关权限，就应暂停并进一步核实。权限页面还应明确第三方应用名称和身份提供方。

授权令牌和密码的安全边界不同

标准授权中，第三方通常拿到的是可撤销的访问令牌，而不是主账号密码。这意味着用户可以在身份提供方的授权管理页面撤销访问，而无需一定修改密码。若某个所谓“第三方登录”页面直接要求用户在第三方网页输入另一个服务的密码，则应特别谨慎。

授权也不能证明第三方值得信任

即使授权流程技术上正常，用户仍需判断应用主体和权限是否合理。标准OAuth页面只能说明采用了某种认证机制，不能自动保证第三方业务合法、安全或值得使用。

• 标准第三方授权通常不直接共享主账号密码。
• 授权前应看清应用名称和权限范围。
• 授权令牌通常可以单独撤销。
• 技术流程正常不等于第三方一定可信。

本文不确认千亿QY相关服务是否提供任何第三方登录，也不提供具体参与入口。实际认证方式需以真实服务界面核实。