openid - dotNetOpenAuth 示例问题获取正确的安全上下文

Question

我正在通过dotNetOpenAuth Samples (OpenIdRelyingPartyMVC 和 OpenIdProviderMvc)并提出一个问题以更好地理解......

例如，在依赖方应用程序的 MembersArea 中，我使用 OpenID“http://localhost:4864/user/bob3”。我被重定向到 Providers 登录页面，在这里我使用 Bob 的凭据5 然后。成功登录后，我被重定向回 RelyingParty，上面写着“Congratulations Bob3...”。

这只是依赖方应用程序中的一个绑定(bind)错误，它采用提交给提供者的 OpenID，还是我在 Bob3 的安全上下文中使用 Bob5 的凭据进行了身份验证，这在我看来将是一个主要的安全问题，因为我只需在提供商处使用一个工作用户帐户，就可以作为我想要的任何人进行身份验证。

Answer 1

我认为您使用的是一个过时的分支，其中包含 3 年前发现的安全问题:

http://www.zdnet.com/article/dotnet-projects-flawed-sample-code-has-crippling-authentication-exploit/

有缺陷的 Controller 的代码:
https://github.com/DotNetOpenAuth/DotNetOpenAuth.Samples/blob/master/src/OpenID/OpenIdProviderMvc/Controllers/OpenIdController.cs

固定代码:
https://github.com/DotNetOpenAuth/DotNetOpenAuth/blob/develop/samples/OpenIdProviderMvc/Controllers/OpenIdController.cs

修复的差异:
https://github.com/DotNetOpenAuth/DotNetOpenAuth/commit/cdd3e95f4eac8076ffd78641bf4cf61d4422572a

在我看来，“master”分支已经过时了，而“develop”分支是我们应该使用的分支。