Google OpenID Connect: получение ошибки 500 при подаче параметра «max_age» на запрос аутентификации

Question

В соответствии с требованиями Google мы пытаемся завершить миграцию из предыдущего потока аутентификации OpenID в новую реализацию OpenID Connect. Все было относительно просто до тех пор, пока мы не попытались использовать параметр max_age (как определено в openid-connect-core spec), который служит для замены параметра расширения расширения OpenID: max_auth_age.

Поставка параметра max_age не сразу нарушает запрос аутентификации, но только после успешного повторного аутентификации пользователя с Google; после чего Google возвращает ошибку 500:

500. That’s an error.

There was an error. Please try again later. That’s all we know.

отбрасывая параметр отвращает ошибку 500, но не решает проблему, видя, как мы требуют повторной аутентификации перед входом в определенных областях наших сайтов.

URL-адрес запроса на аутентификацию выглядит корректно сконструированным и действительным. Опять же, он отлично работает без параметра max_age. Example request with max_age=0.

Answer 1

Google не соблюдает параметр max_age и может считаться находящимся за пределами спецификации на этом. Тем не менее у них есть обоснованные аргументы (см.: http://lists.openid.net/pipermail/openid-specs-ab/Week-of-Mon-20150323/005445.html), что сводится к тому, что они не хотят, чтобы RP полностью контролировал повторную аутентификацию с помощью функции «один размер подходит всем» и некоторых дополнительных соображений безопасности.

Я надеюсь, что кто-то из Google ответит здесь, а их планы продолжатся, но пока вы ничего не можете с этим поделать.

Answer 2

Начиная с этой недели Google принимает параметр max_age и возвращает auth_time претензию в ID-токене при передаче max_age.

Однако, независимо от значения параметра max_time, пользователям не будет предложено повторно проверить подлинность в зависимости от времени их сеанса, поскольку это не шаблон, который поддерживает Google. Скорее, пользователям предлагается повторно проверить подлинность только тогда, когда это считается необходимым (например, пользователь обращается к своей учетной записи из нового местоположения).

Если вам нужно повторно проверить подлинность пользователей на своем собственном сайте, вам предлагается сделать это с помощью других средств.