3

OpenID Connect 常见问题解答说，主要用例之一是它允许“站点开发人员在不负责存储和管理密码的情况下对用户进行身份验证”。

Google+ 登录是 OpenID Connect 的一种实现。我的理解是，您向 Google 注册了一个应用程序，然后选择您希望该应用程序能够访问的 Google API。

仅使用该服务进行身份验证（对于基于浏览器的应用程序）而不使用任何 Google API 是否有效使用 Google+ 登录？

如果那是服务/技术的有效应用，那么在哪里可以很好地描述 Web 应用程序需要做什么来集成该身份验证功能，以及这对 Web 应用程序的 HTTP API 的设计和后续实现有什么影响？

4

1 回答 1

1

您当然可以在没有 API 访问权限的情况下使用 Google+ 登录进行身份验证，因为 OpenID Connect 允许您这样做。从 Google 返回后，您的 webapp 将收到一个id_token用于识别用户的标识，以及一个access_token您用于对抗 Google 的 API 的标识。您可以决定只使用 中的信息id_token并删除access_token.

该规范可能是阅读此内容的最佳地点：http: //openid.net/specs/openid-connect-core-1_0.html

有关作为 Apache 网络服务器身份验证模块的示例实现，请参阅https://github.com/pingidentity/mod_auth_openidc

于 2014-12-01T13:47:07.593 回答