微信、QQ、GitHub 登录：目录站接第三方登录之前要想清楚的五件事

目录站到底要不要账号，本身就是个问题。纯做收录和导航的话，不登录也能用，加了账号反而多一堆义务。但如果你做了收藏夹、提交入口、评论区，账号就躲不掉了。

这时候接第三方登录是很自然的想法：省掉注册流程，省掉密码存储和找回。但它不是把责任外包出去了，而是换了一批责任。

图片来源：网络，版权归原作者所有，侵权请联系删除

第一件事：账号信息受什么管

《互联网用户账号信息管理规定》是 2022 年 6 月 27 日由国家网信办公布、2022 年 8 月 1 日起施行的。它定义的「账号信息」范围比很多人想的宽：名称、头像、封面、简介、签名、认证信息都算，只要是用来标识用户账号的信息。

里面几条对第三方登录直接相关：

• 互联网信息服务提供者要制定并公开账号管理规则、平台公约，与用户签订服务协议。
• 提供信息发布、即时通讯等服务的，应当进行真实身份信息认证。业内习惯的说法是「后台实名、前台自愿」。
• 要对用户注册时提交的、以及使用中拟变更的账号信息进行核验，并建立动态核验制度，适时核验存量账号。
• 要在账号信息页面展示合理范围内的IP 地址归属地信息，便于公众为公共利益监督。

最后这条是国内平台侧的通行做法。它意味着：用户主页基本不可能做成完全匿名的。你要么不做用户主页，要么就按这个来。

另一条容易忽略的是第八条：账号信息不得违反《网络信息内容生态治理规定》第六条和第七条，不得假冒仿冒党政军机关、企事业单位、新闻媒体等的名称和标识。第三方登录带过来的昵称和头像同样要过这一关——对方平台审过的，不等于你可以不审。

第二件事：拿到的字段要按最小必要筛一遍

第三方登录接口通常会返回一串字段：openid、unionid、昵称、头像、性别、地区，有的还能拿到更多。默认全存是最省事的做法，也是最不合规的做法。

《个人信息保护法》第 6 条讲的是明确、合理的目的和最小范围，第 19 条要求保存期限为实现处理目的所必要的最短时间。所以每个字段都要问一遍：这个字段是干什么的？不存会怎样？

• openid / unionid：必须存，这是账号绑定的唯一凭据。注意它本身可能无法直接识别自然人，但一旦和你的站内行为数据关联起来，性质就变了。
• 头像：要展示就存 URL，别把图片文件抓到自己服务器——那多了一层复制和著作权问题。
• 昵称：要展示就存，但要能改、能审。
• 性别、地区、生日：目录站基本用不上，不存。

另外提醒一句：头像 URL 大多有有效期或者会变，隔一段时间要重新拉一次，否则会出现大面积裂图。这个刷新动作也别太频繁，按展示时按需更新即可。

第三件事：登录态不能挡住收录

这是目录站特有的坑。如果用户在未登录时看到的是「登录后查看完整列表」，那搜索引擎看到的也是这个。

谷歌的抓取文档口径是明确的：默认不会去抓需要登录才能看到的内容。所以：

• 条目页和分类页永远不需要登录。只有个人中心、收藏夹这类真正私有的页面才加登录限制。
• 收藏夹、我的提交这类页面，用 noindex 处理，而不是靠 robots 挡——robots 挡住的 URL 仍可能被索引（只是不抓内容）。
• 别做「未登录跳转登录页」这种重定向，爬虫会跟着走到一个和原页面无关的页面上。

第四件事：注销和数据带走

《个人信息保护法》要求提供便捷的撤回同意和注销途径。接了第三方登录之后，注销这件事要处理干净：

• 注销时解除第三方绑定关系，不要只删本地账号记录。
• 明确告知注销后哪些数据会删、哪些会匿名化保留（比如你保留一条「本月有 N 个用户注销」的统计是合理的，保留这个人的收藏记录就不合理）。
• 如果用户在第三方平台注销了账号，你这边要有兜底：绑定失效时给出重新绑定的入口，而不是直接把账号变成死号。

第五件事：多家登录的合并与冲突

接了两个以上渠道之后，迟早会遇到「同一个人用微信登一次、用 GitHub 登一次」的情况。处理原则：

• 以你自己的用户 ID 为主键，第三方 openid 只是绑定关系，不要拿 openid 当用户 ID。
• 绑定靠站内已登录状态下的主动操作，不要靠邮箱或昵称自动合并——误合并的代价远大于多一个账号。
• 提供一个「账号绑定情况」页面，让用户自己看得见绑了哪几个。

什么时候干脆别做

如果你的目录站只是：展示分类、展示条目、跳转外站、有个站内搜索——那真的不需要账号。加第三方登录带来的义务（公开规则、真实身份核验、IP 归属地展示、注销通道）远超收益。

做之前先问一句：这个功能不登录能不能用？能用的话，就先别做登录。