ClaimedIdentifier와 DB에 저장하기위한 FriendlyIdentifier? 어느 것이 더 안전합니까?

Question

내 응용 프로그램에서 openid 2.0을 사용하고 있습니다. 나는 사용자를 확인하기 위해 DB에 openid 식별자 값을 저장해야합니다. 이메일을 저장할 수도 있지만 claimidentifier를 저장하는 것도 좋은 접근 방법입니다.

DB에 저장하기 위해 ClaimedIdentifier와 FriendlyIdentifier를 사용하는 것이 안전한 이유는 무엇입니까? 그것이 무슨 차이가 있을까요?

내 응용 프로그램에서 두 값을 모두 가져 오지만 많은 게시물은 보안 문제로 인해 FriendlyIdentifier를 사용하지 않도록합니다. 어떤 보안 문제로 인해 ClaimedIdentifier는 FriendlyIdentifier가 해결할 수없는 문제를 해결할 수 있습니까?

Answer 1

openid 친한 식별자를 잘라 버리고 임의의 문자열을 db에 저장하면 다른 누군가가 intuit openid url 형식을 복제하고 일부 스크립트 값을 전달한 경우 일부 스크립트 문제가 발생할 수 있습니다. 고유 한 주장 된 식별자 값 (https)을 모두 저장 한 다음 사용자와 일치하도록 가져 와서 자르는 것이 좋습니다.