Flutter应用中Bluesky第三方登录的标准认证方案、实现方式及合规性咨询

我之前在做Bluesky第三方应用开发时也踩过同款坑，结合官方文档、社区实践和Flutter落地经验，给你梳理下清晰的解答：

一、Bluesky官方是否支持OAuth 2.0授权码流？ #

目前（2024年）Bluesky官方还没有正式推出标准的OAuth 2.0授权码授予流程，这也是不少第三方开发者吐槽的痛点。官方当前主推的认证方式就是通过com.atproto.server.createSession接口搭配用户手动生成的App密码。

社区里一直有OAuth支持的呼声，官方也提到过在规划相关功能，但暂时还没有落地的明确时间表。

二、当前唯一可行的官方认证方式：App密码 + createSession #

是的，现阶段使用App密码调用com.atproto.server.createSession是官方唯一认可的第三方应用认证方式。不过我们可以通过优化交互流程，让这个方式变得更安全、更符合用户习惯。

三、Flutter应用中友好实现Bluesky登录的步骤 #

要避免让用户觉得“不安全”，核心是绝不索要用户的Bluesky主密码，而是引导用户生成专用的App密码，具体实现流程如下：

1. 做友好的前置引导
   在“Login with Bluesky”按钮点击后，先弹出一个清晰的说明页：

   • 明确告知：我们不会索要你的Bluesky主密码
   • 解释原因：需要你在Bluesky官方页面生成一个仅用于本应用的专用App密码
   • 提示权限：生成的密码可以随时在Bluesky设置里撤销，不会影响主账号安全

2. 用WebView打开Bluesky官方App密码生成页
   使用webview_flutter插件加载Bluesky的官方App密码生成页面，让用户在官方安全环境下操作：

   import 'package:webview_flutter/webview_flutter.dart';
   
   void _openAppPasswordGenerator() {
     Navigator.push(
       context,
       MaterialPageRoute(
         builder: (context) => WebView(
           initialUrl: 'https://bsky.app/settings/app-passwords',
           javascriptMode: JavascriptMode.unrestricted,
         ),
       ),
     );
   }
   

3. 获取认证令牌并安全存储
   用户生成密码后回到App，输入自己的Bluesky Handle（比如username.bsky.social）和复制的App密码，调用createSession接口获取令牌：

   import 'package:dio/dio.dart';
   import 'package:flutter_secure_storage/flutter_secure_storage.dart';
   
   Future<Map<String, dynamic>> blueskyLogin(String handle, String appPassword) async {
     final dio = Dio();
     final response = await dio.post(
       'https://bsky.social/xrpc/com.atproto.server.createSession',
       data: {
         'identifier': handle,
         'password': appPassword,
       },
     );
     // 用安全存储保存令牌，避免明文泄露
     final storage = FlutterSecureStorage();
     await storage.write(key: 'bluesky_access_jwt', value: response.data['accessJwt']);
     await storage.write(key: 'bluesky_did', value: response.data['did']);
     return response.data;
   }
   

四、解决「Bad token scope」错误 #

你遇到的这个错误，是因为错误地在API请求中添加了scope参数——Bluesky的accessJwt本身已经包含了全权限（App密码生成的令牌拥有所有操作权限），不需要额外指定scope。

正确的API调用方式是在请求头中携带令牌，比如发布内容：

Future<void> postToBluesky(String text) async {
  final dio = Dio();
  final storage = FlutterSecureStorage();
  final accessJwt = await storage.read(key: 'bluesky_access_jwt');
  final did = await storage.read(key: 'bluesky_did');
  
  dio.options.headers['Authorization'] = 'Bearer $accessJwt';
  
  await dio.post(
    'https://bsky.social/xrpc/com.atproto.repo.createRecord',
    data: {
      'repo': did,
      'collection': 'app.bsky.feed.post',
      'record': {
        '\$type': 'app.bsky.feed.post',
        'text': text,
        'createdAt': DateTime.now().toIso8601String(),
      },
    },
  );
}

五、应用商店合规性（Google Play & App Store） #

使用App密码的方式完全符合两大应用商店的政策，只要你做到以下几点：

• 绝不收集用户的Bluesky主密码，只使用用户主动生成的App密码
• 流程透明：在App内明确说明App密码的用途、生成方式和可撤销性
• 不误导用户：不要假装是OAuth流程，如实告知这是当前Bluesky官方支持的安全认证方式

Google Play和App Store都允许第三方应用使用服务提供商的专用应用密码进行认证，只要流程透明、安全。

总结 #

目前Bluesky还没有官方OAuth流程，App密码+createSession是唯一合规的认证方式。通过引导用户在官方页面生成App密码，你可以实现相对友好且安全的登录流程，同时符合应用商店的要求。建议关注Bluesky的官方更新，一旦推出OAuth流程，再切换到标准授权码流即可。

内容来源于stack exchange