php - Janrain OpenId 与 lightopenid PHP 库

Question

Janrain's PHP OpenID的PHP实现有什么区别？图书馆和 LightOpenID .

一个比另一个更安全吗？

根据 Google's best practices page :

A correct OpenID implementation has to:

1. cover checking of cryptographic signatures

2. checking of nonces

3. Yadis discovery

我猜 Janrain 的库确实满足了 Google 推荐的所有这些要求，但是 LightOpenID 是否满足 1 和 2。

Answer 1

LightOpenID 使用协议(protocol)的无状态版本，使其比 Janrain 的库简单得多。

无状态版本将验证(任何与密码学、随机数等相关的内容)委托(delegate)给提供者，因此 LightOpenID 不会自行检查。但是，它在这方面确实遵循规范，因此这不是安全问题。