Google+登錄驗證問題

您好，我正在嘗試在我的網站上實施Google+登錄，除了php將檢查用戶的谷歌ID和電子郵件以查看他們是否有帳戶或我需要爲他們創建一個。Google+登錄驗證問題

我遇到的問題是如何驗證php從客戶端上的javascript接收到的文件實際上是否有效？我的意思是，似乎有人可以很容易地修改腳本發送任何谷歌用戶的ID和電子郵件，然後以任何人登錄。我如何防止這種情況？

我一直在這個谷歌指南以下到目前爲止https://developers.google.com/+/web/signin/add-button

他們不說有關如何驗證用戶多數民衆贊成在簽署的後端什麼是真正的真實的用戶還是不行，我用我錯了出於我的目的，我不需要任何離線訪問他們的帳戶信息，只有當他們登錄到網站和活躍。

來源

2014-10-06 Wes

要登錄到Google +，您需要一個電子郵件地址和密碼。所以任何人都可以知道客戶的電子郵件地址，因爲他們可以將它發給任何人。但是，要登錄到他/她的帳戶，您還需要「密碼」。 – Juniar 2014-10-06 01:24:01

@Juniar Google+登錄功能的全部功能是讓您不必向用戶詢問密碼。網站不應**請求Google密碼。 – abraham 2014-10-06 03:16:15

@abraham如果沒有密碼，那麼我想任何具有有效電子郵件地址的人都可以登錄，而不管電子郵件：所有權。所以隱私並不重要。 – Juniar 2014-10-06 03:50:30

在步驟5中，您鏈接的是成功結果的授權對象。這包含一個access_token。這個access_token是一個祕密，它根據對被授權的特定用戶的請求權限來標識和授予訪問權限。將此access_token通過XHR或其他方法傳遞到您的後端，並使用它將用戶標識設置爲me的people.get的認證請求。這會告訴你這個用戶是誰，如果你要求email範圍他們驗證的電子郵件地址。

來源

2014-10-06 03:22:24 abraham

我必須使用HTTPS將access_token傳回去，還是隻能使用HTTP？我嘗試過Cors，但它只是沒有工作。該服務器也沒有SSL證書。 – Wes 2014-10-07 21:37:56

你真的應該爲你的整個網站使用SSL。否則任何人在他們的瀏覽器和您的服務器之間使用相同的WiFi訪問網絡設備可以劫持他們的access_token。 – abraham 2014-10-07 22:16:55

Google+登錄驗證問題

回答

相關問題