Да, полезная нагрузка аутентификации от поставщика к проверяющей стороне проходит через браузер пользователя, давая пользователю возможность проверять и даже изменять то, что перенаправляется на веб-сайт проверяющей стороны.
Однако полезная нагрузка подписана, поэтому любые изменения в подписанной части сообщения приведут к тому, что проверяющая сторона обнаружит вмешательство, и должны отклонить сообщение.
Таким образом, по сути, нет, вы не можете захватить чужую учетную запись с помощью этого метода из-за процесса проверки подписи, который является встроенной частью OpenID.