Можно ли использовать OpenID для аутентификации доступа к клиентской области сайта?

Question

Можно ли ограничить пользователей, которые могут входить с открытым идентификатором на моем сайте.У меня есть клиенты, которым я хочу предоставить доступ к клиентской области на моем веб-сайте.Я не хочу, чтобы кто-то с открытым идентификатором мог войти в систему только для моих клиентов.Возможно ли это?

Answer 1

Один из способов сделать это - создать форму регистрации для проверки пользователя.Частью процесса регистрации будет ассоциирование вашего OpenID.После этого вы можете оставить вновь созданную учетную запись в режиме ожидания, который будет одобрен администратором.( примечание: если у вас есть другой способ добавления клиентов, вы бы использовали этот метод. )

По сути, вы бы создали профиль для пользователя так же, как в любом другомприложения, за исключением того, что вы заменили бы часть UserName / Password на OpenID.

Answer 2

OpenID сделан для аутентификации, а не для авторизации. Я уверен, что вы могли бы заставить его работать (*), однако вы должны иметь в виду, что OpenID не был создан для такого рода задач.

Если вы хотите это сделать, вы, вероятно, должны ограничить набор разрешенных поставщиков OpenID, чтобы злоумышленник не передавал поддельные / поддельные идентификационные URL-адреса вашему приложению (потребителю).

(*) как, зависит от того, где вы хотите применить ограничение (веб-сервер, веб-фреймворк и т. Д.)