Google OpenID openid.return_to

Question

如果我理解正确，如果用户批准认证，Google会将用户带到openid.return_to中指定的位置。这是否意味着openid.return_to可能是成员区域的URL？ Google是否创建了一个cookie或其他内容来表明用户已通过身份验证？如果不是，我如何判断到达会员区的用户确实是通过OpenID登录的真正的Google用户？

Answer 1

返回到网址后，您应该验证它是否确实来自Google。然后，如果验证成功，您可以假定用户已登录。否则，用户要么取消了身份验证，要么发送虚假断言，要么仅仅是身份验证过程出了问题。

至于它是成员区域的网址 - 它可以是任何网址，但它已被访问的事实并不意味着用户已登录。再次，您必须先验证它。

这是一个相当复杂的过程，并且取决于以前的身份验证步骤，因此除非您想要read the specification，否则最好使用openid library来完成此操作。