Google OpenID openid.return_to

Question

Если я правильно понимаю, если пользователь одобряет аутентификацию, Google доставит пользователя в местоположение, указанное в openid.return_to.Означает ли это, что openid.return_to может быть URL-адресом для зоны участников?Создает ли Google файл cookie или что-то еще, чтобы указать, что пользователь прошел аутентификацию?Если нет, то как мне узнать, действительно ли пользователь, пришедший в зону участников, является подлинным пользователем Google, вошедшим в систему с помощью OpenID?

Answer 1

Вернувшись на URL, вы должны убедиться, что он действительно исходит от Google. Затем, если проверка прошла успешно, вы можете предположить, что пользователь вошел в систему. В противном случае пользователь либо отменил аутентификацию, отправил ложное утверждение, либо просто что-то пошло не так в процессе аутентификации.

Что касается URL-адреса в области участников - это может быть любой URL-адрес, но тот факт, что к нему обращались, не означает, что пользователь вошел в систему. Опять же, вы должны сначала проверить его.

Это довольно сложный процесс, и он зависит от предыдущих этапов аутентификации, поэтому, если вы не хотите прочитать спецификацию , было бы лучше использовать openid библиотеку , чтобы сделать что.