Google에 로그인하지 않고 Google을 통해 로그인

Question

OpenOID 또는 유사한 (Google, Facebook 등)을 통해 StackOverflow와 같은 사이트에 로그인하면 호기심이 생겨서 신원 제공 업체 자체 (예 : Google)에 로그인하게됩니다. .

사용자가 해당 ID에 로그인하지 않고 제 3 자 ID를 사용하여 내 사이트에 로그인 할 수있는 방법이 있습니까?

Google 로그인은 Google 로그인을 사용하여 다른 방법과 다르게 작동한다는 것을 알고 있습니다. OpenID (2.0), OAuth 또는 독점 솔루션을 기반으로하는지 여부에 관계없이 모든 인기있는 로그인 서비스 (Google, Facebook, Twitter 등)에 대한 일반적인 대답에 관심이 있습니다. "OpenID를 사용하면 기술적 인 이유 때문에 구글은 그렇게 할 수 없다 "고 말했다.

Answer 1

OpenID/OAuth는 사이트 (예 : stackoverflow)가 인증을 위해 ID 제공 업체 (예 : Google)에 상주하는 일반적인 "프로토콜"입니다. 이

1. 당신은 당신이
2. 유래가 리디렉션 URL로 인증받을하기 위해 Google에에 보낼 로그인에 구을를 사용 유래를 알 트랜잭션이 포함되어 있습니다.
3. Google은 사용자를 인증하여 사실상 자신의 서비스에 로그인하게됩니다. (귀하가 자신을 알 수 있도록)
4. Google 및 기타 다른 ID 제공 업체는 귀하의 이메일 및 기타 정보를 stackoverflow
5. 구글이 소비자에게이 정보를 보내면 동의 함 (stackoverflow)
6. 이 시점에서이 정보 (전자 메일)를 유효한 것으로 승인하는 것은 정식 사용자 (예 : stackoverflow)까지입니다.

는 ID 공급자의 로그인 (3 단계)를 통과하지 않는 방식 (당신이 구글에서 암호를 가지고 유래 wnat 것?) (아마도) 신뢰할 수없는 타사에 자격 ​​증명을 노출됩니다

또한 3 단계에서는 Google과의 세션이 포함 된 컴퓨터에 쿠키를 설치합니다. 이 세션이 다른 모든 용도 (Gmail 등)에 대해 유효한 것으로 간주하는 것은 Google 또는 모든 ID 제공 업체에게 달려 있지만 어쨌든 편리한 기능입니다

Google과의 세션이 이미있는 경우 다시 로그인해야합니다.

Answer 2

당신이 묘사하는 행동은 가능하며 (IDP는 쉽게 구현할 수 있지만) 여러 가지 이유로 바람직하지 않습니다.

1. 피싱에 대해 사용자를 교육합니다. "로그인"을 클릭하면 사용자가 ID와 PW를 입력해야하기 때문에 로그인 페이지가 쉽게 표시되고 사용자는 정보를 입력하게됩니다.
2. 물론 사용자에게는 편리하지 않습니다.
3. 위험 및 pw 크래킹의 관점에서 볼 때 사용자가 로그인 할 때 많은 "확인"을 수행하는 것이 좋으며 전화를 Ping하거나 질문하는 것과 같은 추가 검사가 필요할 수 있으며 로그인 한 세션을 만들 수 있습니다.

나는 사용자가 IDP에 부작용으로 서명해서는 안되며, IDP 코드를 작성하거나 다시 사용할 때 IDP에서 로그 아웃하라는 경고 메시지를 사용자가 쉽게 얻을 수 있다는 점을 이해합니다. 귀하의 사이트에.