OAUTH认证和数据关联

Question

我有一个客户要求在他们的网站上使用 oauth，以便用户可以使用他们的 facebook 或 google 凭据进行身份验证。我想知道在此过程中哪些信息是持久的，因此我可以将它们链接到他们在我的数据库中的帐户记录。

我的第一直觉是使用最终令牌（用于从任何站点实际请求信息的令牌），但据我了解，这些令牌可能会过期，从而破坏我的链接。如果他们的令牌过期，我如何识别谁是谁？

如果您仍然不确定我的意思，请以 stackoverflow 为例。我使用我的谷歌凭据登录到 stackoverflow。 stackoverflow 如何将我的 oauth 登录名与我的帐户信息相关联？有些事情必须坚持下去。

我觉得我遗漏了一些非常明显的东西，但由于某种原因，我无法将这些点联系起来。很可能是由于我对 oauth 的无知。

任何见解将不胜感激。

编辑：我刚刚意识到 stackoverflow 使用 openID。我在吠叫错误的树吗？这可以通过 oAuth 完成吗？

Answer 1

这取决于您要完成的工作。如果客户希望能够从他们的站点操作 Facebook 上的用户数据，那么 OAuth 之类的东西将是必要的。

如果客户只是想让他们的用户不需要创建另一个用户名和密码，那么 OpenID 可能是要走的路。

如果您使用 OAuth，当令牌过期时，您必须再次执行登录过程并请求另一个。超时是一项有价值的安全功能。