检查安全的OpenID重定向？

Question

例如，我的服务器的openid登录过程重定向到google，然后google重定向回参数字符串中带有参数的页面。我如何验证这真的来自谷歌？

Answer 1

这些参数可能包含OpenID声明（或错误）。您可以通过遵循OpenID的规格说明验证的说法：

http://openid.net/specs/openid-authentication-2_0.html#verification

你可能不希望自己做的所有工作，虽然，因为它是一个有点复杂。该Janrain OpenID库的蟒蛇可以在某种程度上简化流程：

http://www.janrain.com/openid-enabled

为了让事情更简单，找一个OpenID插件的Web框架。这里是Flask：

http://packages.python.org/Flask-OpenID/