我應該根據協議前綴區分OpenID嗎？ http vs https

Question

我用DotNetOpenAuth爲我的ASP.NET應用程序實現了一個直接的OpenID支持。然而，我最近意識到，與https://johndoe.example.com相比，實施方案將http://johndoe.example.com/視爲不同的用戶。

這導致了不少困惑的用戶。我不確定此時該做什麼。 這是一個錯誤或特徵？

的確，我可以將此行爲視爲一項功能：如果用戶指定HTTPS，則用戶可能不希望系統首先接受HTTP認證。另一方面：如果用戶從純粹的無知中指定HTTPS（偶然的Web訪問者對「S」部分的用途不甚了了），那麼拒絕它的身份驗證嘗試就會造成混淆。

什麼被認爲是最佳實踐？

Answer 1

理論上http和https的身份可能不同。實際上（由現實世界中的提供者實施）他們不應該這樣做。

StackOverflow上不區分http://abdullin.myopenid.com和https://abdullin.myopenid.com之間，因此解決方案應爲99％的情況下可能工作。

Answer 2

是的 - 他們是完全不同的，應該如此對待。

對OP的建議是始終使用https，但並非總是如此（剛纔）。