authentication - 来自已安装应用程序的 OpenID 身份验证

Question

我目前正在计划一个新的网络项目。客户端将使用常规 Web 浏览器进行连接，如果是常规的支持 Java 的手机，则使用 j2me 客户端。我真的很想使用 OpenID 身份验证。对于常规网络浏览器，事情非常简单。但是，我真的不确定已安装的应用程序(例如安装在移动设备上的 j2me 客户端)——常规的 OpenID 身份验证是通过在特定 OpenID 提供商的网页上输入用户名/密码来执行的——这是一个很大的限制:)

有人遇到过这种情况吗？是否可以为从移动 j2me 客户端使用 OpenID 的站点创建身份验证机制？

目前，我想到的解决方案是，希望通过手机连接的用户在对自己进行身份验证(常规浏览器身份验证)后，从服务器网站下载必要的 j2me 应用程序。移动客户端应用程序可以在服务器上动态组装，并嵌入与特定登录 OpenID 用户相关联的 SSL 证书。之后，j2me 客户端可以在不输入任何用户名/密码的情况下向服务器进行身份验证。将要存储在服务器上的数据不是那么敏感 - 考虑到手机盗窃等情况。

谁能想出更好的解决方案？

Answer 1

IMO 对于您正在做的事情的最佳解决方案是将 OAuth 与 OpenID 结合使用。您在 RP 上使用 OpenID 没问题。但对于需要访问该网站的已安装应用程序，它们应该使用 OAuth 来获得授权。流程将像这样工作:

1. 用户在他们的设备上安装应用
2. 在安装或首次启动时，该应用程序有一个“授权我”按钮。
3. 用户按下按钮，网络浏览器会弹出客户端应用需要从中访问数据的网站。
4. 用户使用他们的 OpenID 登录该站点
5. 网站现在询问“您要授权客户端应用 X 吗？”
6. 用户说是并关闭浏览器。
7. 客户端应用再次出现并说“谢谢”。现在拥有访问用户数据所需的 OAuth token ，而无需用户再次登录。