检索电子邮件：OpenId 与经典身份验证

Question

我需要为我正在处理的项目实施身份验证。但我无法做出选择：是否使用 OpenId。我的主要问题是如果用户已通过 OpenId 登录，如何检索用户的电子邮件（这对于发送通知至关重要）。当然，大多数 OpenId 提供者都会返回此信息，但我不能相信他们（因为任何人都可以设置 OpenId 提供者）。

我目前看到的方式是： 1. 仅支持始终返回用户电子邮件且我可以信任的 OpenId 提供商（在 OpenId 身份验证场景中激活电子邮件会很尴尬）。 2. 忘记 OpenId 并使用经典身份验证。

你怎么看？

Answer 1

实际上，最好的办法是实现 OpenID，但无论如何都要验证电子邮件地址（如果 OP 不提供，则要求用户提供）。

如果用户使用 OpenID，要求用户验证他们的电子邮件并不尴尬—— OP 返回的数据不能保证是真实的。

无论你做什么，都不要限制 OpenID 提供者——它只会引起混乱。如果地址来自已知提供商，您根本无法验证地址。