QQ 音乐身份接口标准化与安全评价

采用统一协议安全评价方法。本页评价车载/设备 SDK 的账号绑定与验证协议；播放能力、SDK 功能量和商业支持不计分。

结论

36.5 / 100（E）。现有合作方方案是 QQ 音乐专用 SDK + 第三方票据验证回调，不是 OAuth/OIDC 身份协议。它能实现绑定、解绑和同登同退，但必须依赖厂商 SDK、私有字段和项目约定；回调使用自定义 MD5 拼接签名，缺少现代算法、kid 和标准密钥轮换。该方案可以作为遗留兼容，不应成为新设备或新平台的身份协议基线。

统一评分

技术维度	权重	分数	依据
身份联邦与协议互操作	20%	1.5	SDK 账号绑定/换票为专有协议，未验证 OIDC/OAuth 标准端点或 metadata
授权流程安全	15%	1.5	绑定流程依赖专用方法和第三方 token；无授权码 + PKCE、标准设备流证据
令牌与客户端凭据安全	15%	2.0	第三方票据可限时并由服务端验证；标准 token 类型、吊销、轮换重放检测和发送方约束缺失
权限模型与最小授权	15%	2.0	票据可限定账号用途，但缺少标准 scope/resource/audience 协商
密码学与密钥生命周期	10%	1.5	HTTPS 可补充保护；自定义 MD5 拼接不符合新系统算法与密钥生命周期基线
主体标识与账号生命周期	10%	2.5	`unionId` 绑定、解绑和查询形成基本状态机；标识与生命周期完全依赖平台私有语义
回调、事件与防重放	10%	2.0	有 timestamp 和签名；重放窗口、nonce、算法版本、`kid` 和双钥轮换不完整
API 传输与消息语义	5%	2.0	HTTPS POST/JSON 可用，字段、返回码、签名规范和缓存语义均为私有

标准符合度判断

updateThirdPartyAccount、partner_access_token 和 unionId 是 SDK 业务字段，不是 OAuth grant、标准 token 或 OIDC subject。
QQ 音乐回调合作方验证票据，属于双方账号联合；没有标准授权服务器、客户端、资源服务器和用户授权语义。
MD5 已不适合作为新协议的消息认证算法。这里不能仅凭碰撞研究断言已可直接伪造，但算法缺少现代安全裕量和算法敏捷性，应明确淘汰。
timestamp 只有在服务端限制偏差并缓存请求摘要/nonce 时才能防重放；“参与签名”本身不等于拒绝重复请求。
SDK 不保存第三方 token 是合理的职责分离，但 SDK 封装仍不能带来标准互操作性。

建议 QQ 音乐按此顺序改进

新建标准 OAuth 2.0/OIDC 服务：Discovery、metadata、JWKS、标准 id_token/UserInfo 和 iss + sub。
车机/电视登录采用 RFC 8628；账号联合采用标准授权码或 OAuth Token Exchange，不再新增 SDK 私有登录方法。
立即提供 HMAC-SHA-256 或 JWS 回调并设置旧 MD5 退场期限；消息加入算法版本、kid、timestamp、nonce 和明确重放窗口。
提供标准 revocation、短期 access token、refresh token 轮换/重放检测；高风险绑定和解绑支持 mTLS/DPoP。
将 unionId 映射为明确作用域的 iss + sub，定义账号注销、合并、解绑、设备丢失和授权撤销传播。
提供通用协议互操作测试套件；SDK 只作为可选便利层，不再作为唯一接入方式。

接入企业当前应做什么

不在新架构中直接扩散 QQ 音乐 SDK 身份模型；集中放入隔离适配器，对内部系统只暴露标准主体和会话。
给 QQ 音乐验证的票据与主站会话分离，限制 audience、operation 和短时效；支持立即吊销。
在 MD5 兼容期强制 HTTPS、常量时间比较、严格时间窗、请求摘要去重和独立密钥；要求书面迁移日期。
绑定/解绑属于高风险账号操作，应增加用户确认、审计、幂等键和异常恢复，不能只依赖一次回调。

资料

本仓库 QQ 音乐账号绑定实现
QQ 音乐开放平台《Android SDK 文档》登录相关章节（合作方资料，非公开）
OAuth 2.0 Security BCP（RFC 9700）
JWT Best Current Practices（RFC 8725）

核验日期：2026-07-27。E 级表示该身份接口不适合作为新系统标准基线，不是对 QQ 音乐产品、内容或整体安全团队的评价。