Вы смотрели в OpenID? Вы можете заблокировать потребителя OpenID "ex2", чтобы разрешить вход только от вашего поставщика OpenID "example.com".
Я тоже копаю предмет. Некоторое время назад, я уже сделал свою собственную реализацию и понял ее совершенно неправильно .
В данный момент мне интересно, нужно ли настроить собственный поставщик OpenID и заблокировать сайты пользователей, чтобы принимать только его. Другой альтернативой может быть еще одна собственная реализация с настройкой стиля CAS , где через браузер передается только хэш, а проверка пользователя выполняется сервер-сервер в фоновом режиме, используя хэш в качестве одноразового использования. ключ.
Я еще не уверен, какой из них выбрать или какой-то третий вариант будет лучше.