openID足够安全，可以在商业网站中实施

Question

我想要一些反馈

我认为标题已经说明了，但这是我的观点。

例如，如果我有（多个）购物网站，这也提供了与货币价值交换直接相关的airmiles或类似的东西， - openID仍然足够安全，或者该网站是否有自己的登录程序，就像它是与银行合作。

修改

如果OpenID可用于初始识别，那么消费者必须为站点提供的额外个人信息如何与openID验证程序相关联。有没有像我从openID获得的永久性令牌，我将其余部分存储在个人注册信息中？

这种方法是否有用，足以安全实施openID？

任何想法，意见，请？

谢谢，理查德

Answer 1

如果您需要个人信息，无论是否为提供者，您都必须提出要求。

除了标识符和用户密码之外，OpenID本身与任何数据无关 个人数据由一个扩展程序管理，例如AX，它不能也不应该被信任提供真实数据或任何数据。

换句话说：

• 如果您是提供商，则必须要求提供数据，因为您不会自动从任何地方获取任何内容
• 如果您是消费者，您可能会从OP获得一些数据，但您必须自己验证它们（并可能要求丢失数据）。例如，您通常不能相信所提供的电子邮件是有效的

安全吗？

正确实施，它很可能足够安全。至少到没有黑客攻击提供者就不可能入侵帐户。

那就是说，我不能证明它是安全的，而且我不知道任何声称这样做（或其他）的工作。到目前为止，我从未听说过协议本身存在漏洞。