OpenID虚假请求return_to url

在openID checkid_setup之后，提供者重定向到return_to并带有一组GET params。它可能是帖子，我不确定，但谷歌返回所有GET。无论如何，这并不重要。OpenID虚假请求return_to url

如果有人向return_to发出假申请？

现在我计划将assoc_handle的盐渍散列与return_to url
有没有更好的方法？

（我只是做的步骤associate然后checkid_setup我错过任何其他步骤与其他服务，甚至与谷歌以符合？虽然我得到identity和claimed_id与我现有的工艺）

2012-03-18 Neel Basu

http://wiki.openid.net/w/page/12995230/Security – hakre 2012-03-18 17:26:42

可能重复的[如何验证谷歌openid响应]（http：///stackoverflow.com/questions/2957358/how-to-verify-google-openid-response） – hakre 2012-03-18 17:28:05

这不重复。因为我问的是*我的'现在'的解决方案好吗？*还有另一个斜体字的问题。他们都不会在你的任何链接中得到回答。所以你的说法是错误的。并且可能有其他人为了同样的问题而刮擦。所以他们可能也需要这个问题来生活。所以这也不应该被关闭。 – 2012-03-18 18:26:08

如果您使用PHP作为问题标签，只需使用php-openid库。它正确验证了断言，并且经过了良好的测试&测试。

如果你只是出于好奇而更好地理解OpenID，很好。但请做而不是尝试实施自己的依赖方库，除非您确信自己可以正确做到并且不会引入漏洞。这很难得到正确的，很容易得到错误:)

2012-04-10 17:24:37

回答