security - OpenID Connect webfinger 端点是用户帐户到 OpenID Connect 提供商的映射吗？

Question

在this question示例答案以:

Suppose Carol wishes to authenticate with a web site she visits using OpenID Connect. She would provide the web site with her OpenID Connect identifier, say carol@example.com. The visited web site would perform a WebFinger query looking for the OpenID Connect provider.

所以听起来 example.com 还不知道哪个 OpenID 连接提供商可以对 Carol 进行身份验证？它必须使用 Carol 的电子邮件地址作为查找键来找出哪些 OpenID Connect 提供商可以对她进行身份验证？

很多网站都有 Authenticate with Github 或 Authenticate with Google，但在这种情况下，这些网站似乎只是根据电子邮件地址找出身份验证提供者希望进行身份验证的人的身份。因此，该站点无需选择身份验证提供程序，而是询问电子邮件地址，然后确定用户可以使用哪个身份验证提供程序。所以顺序是这样的:

• 1) 用户输入电子邮件地址(或用户 ID)
• 2) 服务器使用电子邮件地址/用户 ID 查找身份验证提供程序

• 3) 服务器显示用户可以从中选择的身份验证提供程序列表

  我的理解正确吗？

Answer 1

So it sounds like example.com does not yet know which OpenID connect provider can authenticate Carol?

你是对的。这是WebFinger的作用用于确定与 OpenID 连接标识符关联的 OpenID 连接提供程序的协议(protocol)。

当站点显示“使用 Github 进行身份验证”时，它的 OpenID 连接提供程序已硬编码 (Github)，并且未实现 WebFinger。