OpenID + nhớ tôi/ở lại đăng nhập

Question

Tôi có một câu hỏi như thế nào/gì những phương pháp tốt nhất là sử dụng OpenID và cũng cung cấp khả năng để duy trì đăng nhập.

Nếu tôi nhìn vào Stackoverflow ví dụ tôi có đăng nhập bằng Google và nếu tôi đóng trình duyệt và quay trở lại nó vẫn có tôi như đăng nhập.

Tuy nhiên, tôi không đăng nhập vào Google và Moreoever tôi đã loại bỏ stackoverflow từ danh sách các dịch vụ ủy quyền mà có quyền truy cập vào tài khoản Google của bạn. Tôi sẽ ngây thơ mong đợi rằng stackoverflow sẽ nhắc tôi đăng nhập lại nhưng nó không.

Vì vậy, câu hỏi của tôi là, các phương pháp hay nhất về OpenId và ghi nhớ người dùng được xác thực qua các phiên là gì?

Answer 1

OpenID vẫn còn khá mới và một số bên phụ thuộc đang thử các cách mới và khác nhau để triển khai OpenID. Có một công việc đang tiến hành best practices document for relying parties được tổ chức bởi nền tảng OpenID. Đặc biệt, họ giải quyết các câu hỏi về cookie và độ dài phiên trong last section của họ. Chắc chắn là một ý tưởng thú vị để sử dụng cookie claim_id liên tục thay vì cookie phiên liên tục để làm cho cuộc sống của người dùng dễ dàng hơn - họ chỉ phải đăng xuất khỏi OP của họ và đóng trình duyệt.

Cá nhân tôi thấy hành vi bạn mô tả trên StackOverflow khá tự nhiên. Nếu OpenID nằm ngoài ảnh và bạn đã đăng nhập vào một trang web tên người dùng/mật khẩu trên hai máy tính khác nhau với cookie cố định (một kịch bản rất phổ biến) và bạn đã thay đổi mật khẩu của mình, tôi sẽ không ngạc nhiên nếu máy tính vẫn còn cho tôi đăng nhập. Bạn có thể gọi đó là lỗ hổng bảo mật, nhưng đó vẫn là thực hành bình thường. Vì vậy, bình thường trên thực tế Gmail gần đây đã thêm một màn hình ở cuối màn hình Hộp thư đến cho bạn biết nơi bạn đã đăng nhập và cho bạn cơ hội để vô hiệu hóa cookie phiên của họ.

Tôi cho rằng một phương pháp tương tự có thể được thực hiện bởi bất kỳ RP nào, bất kể phương thức xác thực. Và điều đó có lẽ sẽ giảm thiểu mối lo ngại về bảo mật mà bạn có.

Answer 2

Ngăn xếp tràn có thể sử dụng cookie để nhớ bạn là số người dùng xyz hoặc id phiên 1234. Sau khi xác thực, OpenID không có gì để làm với phiên nữa. SO không có khả năng xem liệu bạn có còn đăng nhập vào Google hay không vì vậy điều này dường như chỉ là tự nhiên.