在oAuth中是否有任何令牌在OpenID中交换？

Question

如果没有令牌，OpenId如何保持授权？通过cookies？

Answer 1

OpenID身份验证本身不以任何方式“维护授权”。 OpenID是仅仅是一个协议，该协议允许依赖方有一个最终用户从OpenID提供池证明他/她的身份（或者更精确地说，他/她控制的标识符）。

这就是说，无论是依赖方还是最终的OpenID提供者本身都可以使用所有通常的设备和技巧来维护底层Web客户端的权限，特别是cookie。
由于依赖方维护这样的cookie /状态，可能看起来即使退出（或可能被注销）依赖方的web应用程序，他/她也不会受到重新打开与该站点的会话时使用OpenID身份验证对话框。
同样，由于由OpenID提供商维护的Cookie /状态，人们可能会发现为达到某个给定站点的目的进行身份验证，可能会保存另一个站点的身份验证。然而，后一种行为意味着“其他网站”很容易记住特定的OpenID提供者是应该使用的（我认为OpenID的目标之一是确保最终用户可以选择他/她每个站点的OpenID提供程序）。

有关术语和协议详细信息，请参见OpenID Authentication 2.0 specification。