Esta pregunta puede estar relacionada con this , pero creo que tenemos que estar seguros.
Mi sitio web implementa el inicio de sesión a través de OpenID (o Google, o Facebook, etc.).
En mi sitio web, la autorización se basa en la dirección de correo electrónico del usuario. Si el usuario tiene el correo electrónico [email protected], obtiene acceso al contenido vinculado a esa dirección de correo electrónico. (Básicamente, en mi caso, el contenido enviado por otros usuarios a su dirección de correo electrónico).
No proporciono otras formas de inicio de sesión que la autenticación de terceros y el token de uso único. El usuario a veces se conecta a través de OpenID a veces a través del token.
Supongo que cuando un usuario nuevo inicia sesión por primera vez a través de OpenID, ¿debería verificar de hecho que ella es la propietaria de la dirección de correo electrónico? Solo entonces, puedo almacenar el proveedor como "de confianza" para esta dirección de correo electrónico.
¿Hay algo que impida que alguien configure un proveedor de OpenID, haga que proporcione la dirección de correo electrónico de otra persona y obtenga los privilegios vinculados a esta dirección de correo electrónico en mi sitio web? ¿Puedo hacer una lista de " "proveedores confiables (como Launchpad.net, Facebook, Google) que son conocidos por verificar la dirección de correo electrónico del usuario?
Estoy bastante seguro de la respuesta, pero necesito una confirmación. Quiero que mi sistema de inicio de sesión sea lo más liviano posible, especialmente para los nuevos usuarios. Por lo tanto, no me gustaría agregar tareas para el usuario si no es obligatorio.
