OpenID Fake request to return_to url

После openID checkid_setup провайдер перенаправляет на return_to с набором параметров GET. Возможно, это тоже сообщение, я не уверен, однако google возвращает все GET. В любом случае это не имеет значения.OpenID Fake request to return_to url

Что делать, если кто-то делает фальшивый запрос return_to?

Прямо сейчас я планировал присоединить соленый хэш assoc_handle с return_to url
Есть ли лучший способ?

(я делаю только шаги associate, а затем checkid_setup мне не хватает каких-либо дополнительных шагов, чтобы соответствовать с другими службами или даже с Google? Хотя я получаю identity и claimed_id с моим существующим процессом)

источник

2012-03-18 Neel Basu

http://wiki.openid.net/w/page/12995230/Security – hakre

Возможный дубликат [как проверить ответ google openid] (http://stackoverflow.com/questions/2957358/how-to-verify-google-openid-response) – hakre

Это не дубликат. Причина, о которой я прошу, - это мое «прямо сейчас» решение. «Хорошо?», И есть еще один вопрос, выделенный курсивом. ни один из них не ответил ни на одной из ваших ссылок. Поэтому ваше утверждение неверно. и могут быть другие царапины для той же проблемы. поэтому им также может потребоваться вопрос о жизни. Поэтому это тоже не должно быть закрыто. –

В spec охватывает это - http://openid.net/specs/openid-authentication-2_0.html#verification

Если вы используете PHP, как в теге вопроса, просто используйте библиотеку php-openid. Он корректно проверяет утверждения и хорошо проверен & проверен.

Если вы хотите узнать из любопытства, чтобы лучше понять OpenID, отлично. Но, пожалуйста, сделайте не, попробуйте внедрить свою собственную библиотеку полагающихся сторонников, если вы не уверены, что можете сделать это правильно и не вводить уязвимости. Трудно получить право и очень легко ошибиться :)

источник

2012-04-10 17:24:37

ответ

Смежные вопросы