那 QQ 登录的例子来说，我目前的流程是

1. app 通过 sdk 拿到了我本人 qq 在该 app 下对应的 openid

2. 把这个 openid 传到服务器端，服务器端直接查找该 openid 是否有注册过，注册过就算登录完成了。

我的疑虑就是服务器端拿到这个 openid 之后，却没有一个 token 去 qq 提供授权的接口做校验，是不是太不安全了。

或者说移动端是不是应该传一个 openid + token 到服务器，服务器端通过二者去 QQ 做授权校验。