检查安全的OpenID重定向？

Question

我的服务器的openid登录过程重定向到谷歌，例如，然后谷歌重定向回到参数字符串中带参数的页面。我如何验证这真的来自谷歌？

Answer 1

这些参数可能包含OpenID断言（或错误）。您可以按照OpenID规范中的说明验证断言：

http://openid.net/specs/openid-authentication-2_0.html#verification

你可能不想自己做所有的工作，因为它有点复杂。用于python的Janrain OpenID库可以在某种程度上简化该过程：

http://www.janrain.com/openid-enabled

为了使事情变得更简单，请为您的Web框架找到一个OpenID插件。这是Flask的一个：

http://packages.python.org/Flask-OpenID/