App Engine OpenID - 对于 /_ah/xrds 的请求，我收到 404 错误答案

【问题标题】：App Engine OpenID - I am getting a 404 error for requests to /_ah/xrdsApp Engine OpenID - 对于 /_ah/xrds 的请求，我收到 404 错误
【发布时间】：2012-06-07 00:29:25
【问题描述】：

Yahoo 和 AOL 正在我的一个 App Engine 应用上向 /_ah/xrds 提交请求。我的理解是 xrds 是Providing OpenIDs 时响应的一部分。我不打算提供 OpenID。我现在假设有人试图利用 OpenID 系统中的漏洞来处理垃圾邮件之类的事情，因为我也收到了来自俄罗斯的请求。这是我在这方面经验很少的领域，因此我的假设可能不正确，如有问题请随时纠正我。

为什么 Yahoo 和 AOL 向 /_ah/xrds 发送请求？

如何在 python/webapp2 中响应该请求，让他们知道我不提供 OpenID？

【问题讨论】：

标签： python google-app-engine openid xrds

【解决方案1】：

如果您可以在流程中发布，则此请求即将到来，它将有助于调试问题。然而，最有可能的解释是 Yahoo!并且 AOL 正在尝试对提供的“领域”字符串执行发现，以确保可以从领域字符串指定的站点中发现 return_to URL。这是 OpenID2 规范第 11.1 和 13 节中指定的安全措施。

AOL OpenID 提供程序的正常流程是验证 return_to URL（根据第 11.1 节），该 URL 在领域字符串上执行发现（第 13 节中的 XRDS）。如果无法验证 return_to URL，则 AOL 将在 UI 中向用户显示警告消息。

上述流程的相关、更详细的描述以及如何解决可以在这里找到：AOL openid website verification

【讨论】：

就是这样，它突然出现了。 Yahoo 和 AOL 都在昨晚服务器时间 (PST) 下午 12:30 左右将请求发送到我的主页，然后他们发送的下一个请求是相隔几毫秒发送到 /_ah/xrds。他们从不点击 /login 可能会生成登录请求的位置。我正在使用 App Engine 用户服务进行登录，它不提供 XRDS 吗？我没有尝试使用 AOL，因为我没有 AOL 帐户，但可以从 Google/Yahoo 登录。
我不确定 GAE 是否支持 XRDS 发现。如果这有助于调试，我很乐意尝试登录。我只需要点击 URL。会不会是某个其他站点使用了您的领域字符串，因此 Yahoo 和 AOL 作为 XRDS 发现的一部分来到您的服务器？我不知道我现在是否会回应这个请求。如果您看到来自 AOL 的请求的 DoS 级别，请告诉我。
如果您想返回一份 XRDS 文档，说明该网站只是一个依赖方，那么您可以使用我的回答中链接到的“AOL openid 网站验证”问题中引用的 XRDS 示例。