用于存储在数据库中的 ClaimedIdentifier 与 FriendlyIdentifier？哪个更安全？

Question

我在我的应用程序中使用 openid 2.0。我需要将 openid 标识符值保存在 DB 中以验证用户。我也可以保存电子邮件，但保存声明的标识符似乎也是一个好方法。

为什么使用 ClaimedIdentifier 而不是 FriendlyIdentifier 存储在数据库中是安全的？会有什么不同？

我在我的应用程序中获得了这两个值，但许多帖子说由于安全问题而避免使用 FriendlyIdentifier。 ClaimedIdentifier 可以克服哪些 FriendlyIdentifier 无法克服的安全问题？

Answer 1

也想出了这个—— 如果有人复制了 intuit openid url 格式并传递了一些脚本值，那么截断 openid 友好标识符并在 db 中保存随机字符串可能会导致一些脚本问题。最好保存完整的唯一声明标识符值（https），然后获取并截断它以匹配用户。