我的網站*可以安全地*允許通過Facebook Connect，Google Friend Connect，OpenID，*和*等登錄嗎？

Question

網站是否有可能允許用戶通過多種不同的方法登錄，如Facebook Connect，OpenID等？

不涉及同一用戶的同時登錄，但想知道是否可以有多個「SSO」選項。

是否有一個用戶憑藉OpenID和Facebook作爲憑證登錄的副作用，具有單獨的會話信息和「遊戲」或以某種方式欺騙「系統」？

這是僅提供一個主要原因嗎？還有其他原因嗎？

UPDATE： 在努力澄清一點，我應該說，我們希望使用Facebook連接，但不是所有的預期用戶的Facebook賬戶。與OpenID等相同我們需要將用戶操作綁定到特定的本地「帳戶」，這顯然會與他們用於登錄的任何授權提供者同步（或稍後綁定，與SO一樣），但希望提供最方便的可能。

也許我們應該在室內做？

Answer 1

我建議將所有各種形式的身份驗證跟蹤到一個帳戶。當然，這隻能在用戶這樣做的情況下完成。但以這種方式來看待它。沒有什麼能夠阻止一個人在自定義身份驗證系統上設置多個帳戶，並且執行與選擇使用各種OpenID帳戶來執行相同操作相同的「遊戲」！使用這些認證形式以及自定義內部跟蹤系統是一種很好的方法，並且不會出現任何關於安全性的新複雜性，而這些複雜性只有在內部登錄系統時纔會出現。它只是爲你的用戶增加更多的便利因素（以犧牲更多的編碼爲代價......但並不總是這樣？（：P））。

Answer 2

我的計劃是讓每個SSO提供者都能夠從SSO帳戶映射到本地用戶ID。您可以將多個SSO帳戶分配到單個本地帳戶。所有這些都隱藏在界面後面，可能使用命令鏈模式。

你應該看看使用RPX。他們爲您處理所有這些問題，並允許使用Facebook，OpenId，Windows Live ID等。結果對你來說是透明的 - 你只需要一個不透明的標記來表示ID。