OAuth多个帐户登录拒绝

Question

我正在开发一个网络平台，我发现了一种奇怪的行为。

1. 打开网络浏览器
2. 转到网站
3. 以Google身份登录
4. 退出
5. Google登录新帐户
6. 在权限屏幕上，单击取消

这将导致用户登录第一个帐户。这是Oauth的标准行为吗？

Answer 1

您描述的行为与Google自己的会话管理相关，而不是与OpenID连接协议有关。

OpenID Connect正逐步取代OAuth 2.0，Google也参与了新协议的定义。

你可以看到Google＆＃39;协议中的指纹恰好在您描述的区域中。 处理多个帐户之间的选择。 在字段提示符处查看3.1.2.1. Authentication Request，并考虑值select_account的原因。

无论如何，您所描述的行为（其中身份服务器正在响应具有最近退出帐户的有效代码的身份验证请求）是不正确的。

为谷歌提供它符合协议的信誉，我建议你研究一下网络通信，看看谷歌端点是否真的为错误的用户返回了有效的身份验证，或者它是保持旧会议。

祝你好运

的Eyal

Answer 2

感谢报道。我们将调查并回复。我同意用户在看到帐户B的批准页面并点击取消时不应该登录到第一个帐户。

我们会针对用户登录两个帐户并且一个帐户已经批准然后我们自动选择该帐户的情况进行优化。