OpenID安全性

要求OpenID登录的任何Web应用程序都不能仅秘密存储我的密码并获得对我的帐户的访问权限吗？

如果没有，为什么不呢？

他们不能，因为您仅将密码发送给您的OpenID提供者。但是，网站可能会将您发送到伪造的提供商处，该机构会收集您的密码，因此在输入密码之前，请仔细检查您所使用的URI是否正确，这一点很重要。

开放ID的全部意义在于，它会将您带到一个要求您输入密码的安全网站（您的开放ID提供商），然后该网站仅将您允许的信息发送到请求该信息的站点（例如，电子邮件地址，姓名等） ）。

有关其工作原理的详细说明，请查阅Wikipedia的有关登录过程中发生的情况的文章。

考虑替代方案也很重要。众所周知，人们在大多数站点上都重复使用帐户名和密码。想象一下一个邪恶的网站，它在鼓励人们创建帐户。用户创建一个帐户john_doe / xyzzy。邪恶的网站现在可以去检查这些凭据在amazon.com，ebay.com等上是否有效。我使用google作为我的OpenId提供者，并且我认为google不太可能像这样作为小论坛的所有者进行小偷小摸威力。