我們爲什麼要信任通過例如身份驗證的人Facebook的？

Question

使用OAuth時，我們使用第三方來照顧用戶的身份驗證。
例如當使用Facebook時，我們會在Facebook上「註冊」我們的應用程序，當我們的應用程序的用戶嘗試登錄而不是向他的應用程序提供他使用他的Facebook帳戶登錄的憑據時。
我不明白爲什麼應用程序信任用戶？所有的應用程序知道，該用戶是從Facebook的信任，因爲他有一個帳戶。我們怎麼能相信用戶應該真的訪問應用程序？

Answer 1

在這種情況下，您提供服務的「用戶」是Facebook/Google/Instagram /等。帳戶。從你的角度來看，你並不關心輸入憑據的人是誰。

通常情況下，您只知道登錄到您的應用的用戶知道該帳戶的用戶名和密碼。在外部驗證案例中，您知道該用戶具有fb/google/inst的特定登錄信息，並知道與其關聯的密碼。

請注意，在大多數情況下（本地或外部驗證），您不知道與帳戶相關的人（除非您有一些個人驗證方法，例如信用卡或發送傳統信函一些認證）。你所知道的是，登錄的人知道憑證。

從技術上講，這些帳戶（fb，google，inst）中的每一個都是一個單獨的「用戶」，而您的本地憑證登錄是不同的帳戶。

整個概念是關於真正的用戶便利性，再加上一些額外的好處，比如讓用戶數據由其他人存儲和維護，額外的安全性等等。

這就是說，它仍然是，如果你堅持到「本地」憑據方法完全沒事，只是確保它是安全的:-)

---

編輯：

一個簡單的例子：

你的應用程序有兩個登錄選項 - 一個簡單的登錄密碼和登錄谷歌。 您也有一位用戶John Smith。

John打開您的應用程序，該程序需要登錄並且每個帳戶都有一些敏感數據。

情景1。 John選擇標準的「本地」登錄選項並使用其憑據JohnSmith1111和密碼12345登錄。John現在能夠顯示與帳戶JohnSmith1111相關的數據。

情景2。 John選擇使用Google登錄。他被重定向到登錄頁面，在那裏進行身份驗證並返回到您的應用。您的應用會收到通知，說明用戶google_john_smith已成功通過身份驗證。 John現在可以顯示與帳戶google_john_smith關聯的數據。

問題是使用這些登錄選項驗證的帳戶是不一樣的！這裏沒有「信任」問題。