security - 没有http重定向的OpenId？

Question

我想使用集中式身份验证系统之一，例如 OpenId、Google 或 Facebook 身份验证系统。但是我发现他们都使用 HTTP 重定向到通信服务器来进行注册过程。

我的问题是，对于我的系统，我们想要提供不同的客户端，其中一些是独立的应用程序，因此除非我在我的客户端中实现一个迷你浏览器(或类似的东西)，否则 HTTP 重定向策略将不起作用。

可以以编程方式进行这种联合身份验证吗？

谢谢，

古斯塔沃。

Answer 1

这些系统的信任和安全依赖于浏览器。作为用户，只有当浏览器告诉我我已连接到我的提供商时，我才输入我的凭据:通过指示安全连接和显示防网络钓鱼封条。

您可以在您的应用程序或网站上询问我的凭据，并代表我进行整个身份验证 session ，但我为什么要将它们提供给您？您可以在应用程序中显示嵌入式浏览器或在网站上显示 iframe，但我为什么相信您不会捕获我的凭据？

然后还有方便:我的浏览器有一个来自我的提供商的 cookie，所以我什至不需要在大多数时间输入凭据。

我认为独立应用程序的最佳方法是与您的应用程序服务器建立 session ，然后启动浏览器将用户带到您的 Web 服务器并使用 session 标识符来验证该 session 。然后告诉他们身份验证已完成，他们可以返回到应用程序。无论如何，使用 cookie 或存储的密码将比在您的应用程序中输入凭据更快。