По сути, вы спрашиваете, возможно ли написать реализацию потребителя OpenID, которая нарушает спецификацию настолько, чтобы вводить уязвимости безопасности.Да, это.Вы можете пропустить весь процесс проверки и поверить всему, что вам говорят от вашего пользователя.
Но с потребителем, который точно следует спецификации OpenID, такая атака невозможна.
Поскольку высказал, что вы используете библиотеку .NET, вы, вероятно, используете DotNetOpenAuth.Это та же библиотека, которую использует stackoverflow, и вам, вероятно, не нужно беспокоиться об уязвимостях при ее использовании.Если вы используете другую библиотеку, возможно, это лучший выбор для перехода на DotNetOpenAuth.
Что касается причины, по которой Google возвращает идентификаторы на основе областей: это сделано для защиты конфиденциальности пользователей, а не для увеличениябезопасность.По сути, это гарантирует, что вы не сможете связать учетную запись своего пользователя с его учетной записью Google.