c# - 对这些开放 ID 的工作方式感到困惑

Question

谁能解释一下这些开放 ID 系统的工作原理？

当用户重定向到 openid 提供程序并进行身份验证时，提供程序会向原始网站发回什么？它是网站验证的一些加密文本，还是必须与开放 ID 提供商实际通信才能验证？

Answer 1

如果您对所有细节感兴趣，可以查看规范 here .

虽然在高层次上，它非常简单(此处转述自 the 2.0 spec's overview ):

1. 该站点将用户重定向到 OpenID 提供程序以及身份验证请求

2. OpenID 提供商尝试对用户进行身份验证

3. OpenID 提供程序将用户重定向到站点，以及有关身份验证是失败还是成功的信息。

4. 然后该网站会验证此信息，检查从响应中返回的一些字段，并向 OpenID 提供商发出直接请求(不通过用户浏览器的请求)；这一切都是为了防止欺骗之类的

所以第一步和第二步非常简单，但后两步有些复杂。第 3 步的响应特别包含“nonce”字段，该字段对请求而言是唯一的，以及站点随后将验证的几个字段。此验证发生在第四步，其中进行了一些检查。值得注意的是，返回 URL 和签名。

当然，幕后还有很多事情要做，但如果那是您所需要的信息，那么规范是最好的地方。