2009-06-23 8 views
2

Ist es für eine Website möglich, dass sich Benutzer über verschiedene Methoden wie Facebook Connect, OpenID usw. anmelden?Kann meine Website * sicher * Anmeldungen über Facebook Connect, Google Friend Connect, OpenID, * und * usw. zulassen?

Bezieht sich nicht auf gleichzeitige Anmeldungen desselben Benutzers, aber ich frage mich, ob es möglich ist, mehrere "SSO" -Optionen zu haben.

Gibt es einen Nebeneffekt eines Benutzers mit Anmeldeinformationen bei, sagen wir, OpenID und Facebook als beide anmelden, mit separaten Sitzungsinformationen und "Gaming" oder "System" irgendwie betrügen?

Ist das der Hauptgrund dafür, nur einen anzubieten? Gibt es andere Gründe?

UPDATE: In dem Bemühen, etwas zu klären, sollte ich sagen, dass wir Facebook Connect verwenden möchten, aber nicht alle unsere erwarteten Benutzer haben ein Facebook-Konto. Das selbe wie mit OpenID, etc. Wir tun haben die Notwendigkeit, Benutzeraktionen zu einem bestimmten lokalen 'Konto' zu binden, das offensichtlich mit welchem ​​Auth-Provider sie sich einloggen würde (oder später einbinden, wie bei SO), möchte aber den größtmöglichen Komfort bieten.

Vielleicht sollten wir nur im Haus tun?

Antwort

1

Ich empfehle, alle verschiedenen Formen der Authentifizierung zu einem Konto zu verfolgen. Zugegeben, dies kann nur geschehen, wenn der Benutzer dies tut. Aber sieh es dir so an. Es gibt nichts, was eine Person davon abhält, mehrere Konten auf einem benutzerdefinierten Authentifizierungssystem einzurichten und die gleichen "Spiele" wie die Auswahl verschiedener OpenID-ähnlicher Konten durchzuführen, um dasselbe zu tun! Die Verwendung dieser Formen der Authentifizierung zusammen mit einem benutzerdefinierten In-House-Tracking-System ist ein guter Weg zu gehen und nicht wirklich neue Komplexität in Bezug auf Sicherheit, die Sie nicht nur mit einem Inhouse-Login-System haben würde. Es fügt einfach mehr Komfortfaktoren für Ihre Benutzer hinzu (auf Kosten von mehr Kodierung für Sie ... aber ist das nicht immer der Fall? (: P)).

+0

Es gibt also im Grunde keinen nicht-existenziellen Nachteil beim Anbieten mehrerer Login-Methoden, die mit einem normalen internen Authentifizierungssystem nicht existieren würden. (In diesem Fall würden wir das Authentifizierungssystem natürlich an einen "lokalen" Benutzer binden, aber wir würden uns über Fallstricke wundern, wenn mehrere Authentifizierungssysteme verwendet werden) –

+0

Sie können so viele Authentifizierungssysteme verwenden, wie Sie möchten. Solange jede Möglichkeit an einen Account gebunden sein kann ... oder alle Möglichkeiten können an einen Account gebunden sein (wie Sie es wünschen) und wie auf SO gesehen. Es gibt keine "neuen" Probleme. Personen können so viele Konten erstellen, wie sie E-Mails haben, um das Konto zu überprüfen. Nichts Neues hier. –

1

Meine Pläne dafür sind, dass jeder SSO-Anbieter in der Lage sein muss, vom SSO-Konto aus eine lokale Benutzer-ID zuzuordnen. Sie können einem einzelnen lokalen Konto mehrere SSO-Konten zuweisen. All dies ist ordentlich hinter einer Schnittstelle versteckt, wahrscheinlich mit dem Chain-of-Command-Muster.

Sie sollten mit RPX suchen. Sie behandeln all das für Sie und erlauben Facebook, OpenId, Windows Live ID und mehr. Das Ergebnis ist für Sie transparent - Sie erhalten nur ein undurchsichtiges Token zur Darstellung der ID.

+0

Das sieht nach einer großartigen Lösung aus. Gibt es andere bemerkenswerte Websites, die RPX als pickfu.com verwenden? – GavinR