OpenID虛假請求return_to url

在openID checkid_setup之後，提供者重定向到return_to並帶有一組GET params。它可能是帖子，我不確定，但谷歌返回所有GET。無論如何，這並不重要。OpenID虛假請求return_to url

如果有人向return_to發出假申請？

現在我計劃將assoc_handle的鹽漬散列與return_to url
有沒有更好的方法？

（我只是做的步驟associate然後checkid_setup我錯過任何其他步驟與其他服務，甚至與谷歌以符合？雖然我得到identity和claimed_id與我現有的工藝）

2012-03-18 Neel Basu

http://wiki.openid.net/w/page/12995230/Security – hakre 2012-03-18 17:26:42

可能重複的[如何驗證谷歌openid響應]（http：///stackoverflow.com/questions/2957358/how-to-verify-google-openid-response） – hakre 2012-03-18 17:28:05

這不重複。因爲我問的是*我的'現在'的解決方案好嗎？*還有另一個斜體字的問題。他們都不會在你的任何鏈接中得到回答。所以你的說法是錯誤的。並且可能有其他人爲了同樣的問題而刮擦。所以他們可能也需要這個問題來生活。所以這也不應該被關閉。 – 2012-03-18 18:26:08

如果您使用PHP作爲問題標籤，只需使用php-openid庫。它正確驗證了斷言，並且經過了良好的測試&測試。

如果你只是出於好奇而更好地理解OpenID，很好。但請做而不是嘗試實施自己的依賴方庫，除非您確信自己可以正確做到並且不會引入漏洞。這很難得到正確的，很容易得到錯誤:)

2012-04-10 17:24:37

回答