¿Puede mi sitio web * de forma segura * permitir inicios de sesión a través de Facebook Connect, Google Friend Connect, OpenID, * y * etc.?

Question

¿Es posible que un sitio web permita a los usuarios iniciar sesión a través de múltiples métodos diferentes, como Facebook Connect, OpenID, etc.?

No se refiere a inicios de sesión simultáneos del mismo usuario, pero se pregunta si es posible tener múltiples '' SSO '' opciones.

¿Hay un efecto secundario de un usuario con credenciales en, por ejemplo, OpenID y Facebook que inician sesión como ambos, con información de sesión separada y "juegos" o hacer trampa '' el sistema '' ¿de algun modo?

¿Es esa la razón principal para ofrecer solo uno? ¿Hay otras razones?

ACTUALIZACIÓN: En un esfuerzo por aclarar un poco, debo decir que nos gustaría usar Facebook Connect, pero no todos nuestros usuarios esperados tienen una cuenta de Facebook. Lo mismo que con OpenID, etc. do tenemos la necesidad de vincular las acciones del usuario a una 'cuenta' local particular, que obviamente se sincronizaría con cualquier proveedor de autenticación que usaran para iniciar sesión ( o vincular más tarde, como con SO), pero me gustaría ofrecer la mayor comodidad posible.

¿Quizás deberíamos hacer en casa?

Answer 1

Sugiero rastrear todas las diversas formas de autenticación a una cuenta. De acuerdo, esto solo se puede hacer si el usuario lo hace. Pero míralo de esta manera. No hay nada que impida a una persona configurar varias cuentas en un sistema de autenticación personalizado y realizar los mismos "juegos". ¡como elegir usar varias cuentas similares a OpenID para hacer lo mismo! Usar estas formas de autenticación junto con un sistema de seguimiento interno personalizado es una buena manera de hacerlo y realmente no presenta ninguna complejidad nueva con respecto a la seguridad que no tendría con solo un sistema de inicio de sesión interno. Simplemente agrega más factores de conveniencia para sus usuarios (a expensas de más codificación para usted ... pero ¿no es siempre así? (: P)).

Answer 2

Mis planes para hacer esto es que cada proveedor de SSO pueda asignar desde la cuenta de SSO a una identificación de usuario local. Podrá asignar múltiples cuentas SSO a una sola cuenta local. Todo esto está escondido perfectamente detrás de una interfaz, probablemente usando el patrón de Cadena de Comando.

Debería considerar usar RPX . Manejan todo esto por usted y permiten Facebook, OpenId, Windows Live Id y más. El resultado es transparente para usted: solo obtiene un token opaco para representar la ID.