當我使用OpenId Provider註銷時，我仍然使用RP

Question

進行身份驗證我有一個非常簡單的DotNetOpenAuth實現，可用於我的MVC4網站（僅限Google）。

問題是，如果我（1）使用Google登錄我的網站，然後（2）註銷Google，我仍然在我的網站上進行身份驗證。

這是設計嗎？我是OpenId的新手，所以我有點困惑。當然，用戶會希望如果他們退出Google，將結束所有關聯的OpenId會話？

Answer 1

這是設計嗎？

是的。

如果其他網站在用戶註銷gmail（本例中）時可能會改變其會話狀態，將會對網站造成嚴重破壞。如果你在執行一個DB/SQL更新腳本時需要從會話中獲取user_id，並且突然不存在，因爲用戶剛剛退出gmail帳戶？你會有腳本遍佈整個地方。或者如果他們有2個Gmail帳戶並註銷一個帳戶以檢查其他帳戶中的郵件。巴姆，他們註銷了所有其他網站。我認爲不是:-)

當用戶使用第三方憑據提供商「登錄」到網站上時，如果他們想要退出這兩個網站，他們仍然有責任退出。