@Arsenichev4 апр 2010 в 21:51

Javascript виджет авторизации OpenID

3 мин

7.3K

Веб-разработка *

+85

Комментарии 70

@KiLEX 4 апр 2010 в 21:59

Ухты, превосходно, давно ждал чего либо подобного.

еще бы хотелось более подробного и такого же простого описания, как интегрировать опенид в свой проект.

@Arsenichev 4 апр 2010 в 22:05

Спасибо! Постараюсь, как-нибудь собрать все свои силы и мысли и написать мануал по теме OpenID, основанный на моем опыте. Так как действительно, очень-очень мало документации по OpenID на русском.

@arty 5 апр 2010 в 08:32

а вы пробовали такое искать? ; ) ведь уже достаточно давно существует, например, rpxnow.com — аналог описанного в посте

@Arsenichev 5 апр 2010 в 08:41

Да конечно, я на него наткнулся когда уже большая часть работы была проделана. Я не стал останавливаться, так как, я думаю, нашему разработчику не помешает русскоязычный, а главное бесплатный аналог данного сервиса.

@russum 5 апр 2010 в 15:44

А есть бесплатные аналоги?

@Arsenichev 5 апр 2010 в 17:55

Я не встречал.

@tkf 4 апр 2010 в 23:05

А как решается проблема с тем что например livejournal не возвращает данные о пользователе (ну или может у меня руки кривые)?
Выглядит очень симпатично, если бы еще не редайректил на отдельную страничку, а всплывал отдельным слоем, было бы еще лучше имхо.

@Arsenichev 5 апр 2010 в 07:58

Если OpenID провайдер не возвращает профиля пользователя, то в JSON массиве соответственно его тоже не будет. Будет переданы данные о identity пользователя и ссылка на провайдера provider.

@Arsenichev 5 апр 2010 в 08:00

> если бы еще не редайректил на отдельную страничку, а всплывал отдельным слоем, было бы еще лучше имхо.

Так же так и сделано (всплывает отдельным слоем), просто видимо у тебя страница не догрузилась или JS, именно для таких случаев сделано так (редирект), чтобы все работало.

@1999 5 апр 2010 в 04:14

> В планах реализовать обратную совместимость с OpenID 1.0 (на данный момент, поддерживается только 2.0 версия)
а как можно определить, используется ли вторая или первая версия протокола OpenID-сервером?

разработка однозначно полезная и нужная

@Arsenichev 5 апр 2010 в 07:53

Определение версии OpenID сервера сделано очень хитро. Для того чтобы узнать какие версии держит какой либо сервер, нужно обратиться к XRDS документу сервера (путь к нему может передаваться в HTTP-заголовке X-XRDS-Location ответа сервера).

Собственно в этом документе описывается все возможности сервера:

<?xml version="1.0" encoding="UTF-8"?> <xrds:XRDS xmlns:xrds="xri://$xrds" xmlns="xri://$xrd*($v*2.0)"> <XRD> <Service priority="0"> <Type>httр://specs.openid.net/auth/2.0/server</Type> <Type>httр://openid.net/extensions/sreg/1.1</Type> <Type>httр://openid.net/srv/ax/1.0</Type> <Type>httр://specs.openid.net/extensions/ui/1.0/mode/popup</Type> <URI>httрs://loginza.ru/server/</URI> </Service> </XRD> </xrds:XRDS> * This source code was highlighted with Source Code Highlighter.

httр://specs.openid.net/auth/2.0/server — как раз указывает на то, что используется 2.0 версия.

@Guria 5 апр 2010 в 09:50

Спасибо за инфу про X-XRDS-Location.
Теперь я знаю как работает open-id через Гуглопрофили.

@outcoldman 5 апр 2010 в 04:49

а почему нет поддержки кастомного OpenID? Или как, например, я сделал просто добавил ссылки на openid сервер и профайл на своем сайте и могу теперь использовать свой сайт для авторизации (как делать написано тут — simonwillison.net/2006/Dec/19/openid/ )

@Arion 5 апр 2010 в 06:00

Ппопробывал и через Google аккаунт и через loginza.ru, все хорошо работает но когда на экране остаеться последняя кнопка «Continue» то нажатие на нее обсалютно ничего не дает (Mac Os, Google Chrome), была у меня однажды проблема, что в хроме не работал submit формы на Javascript, возможно причина в этом

@Arsenichev 5 апр 2010 в 07:55

Сегодня проверю работоспособность Chrome. Будем искать баги :) Спасибо!

@NULL_byte 5 апр 2010 в 23:21

Та же фигня, только Windows, Opera 10.51

@pROCKrammer 5 апр 2010 в 08:03

в избранные! спасибо!

@vooD 5 апр 2010 в 08:24

Может быть немного оффтопик, но неужели Mail.ru OpenID ДЕЙСТВИТЕЛЬНО работает? Везде, где я не искал говорят, что это всего лишь заглушка.

@Arsenichev 5 апр 2010 в 08:32

Раньше — да, действительно не работало, но с недавнего времени (может месяца два назад, или три, точно не помню), они все переработали и исправили баги. Теперь работает на ура.

@geka 5 апр 2010 в 10:05

да, работает
раньше сначала криво работало, потом нормально работало, но не на всех почтовых адресах, теперь вроде работает везде — по крайней мере у меня на всех ящиках работает

только вот на loginza насколько я понял не работает авторизация с других адресов mail.ru, таких как inbox.ru — а это достаточно большая аудитория

@geka 5 апр 2010 в 10:08

правда с серверной стороны пришлось сделать костыль специально для обработки их sreg (стандартным обработчиком данные не выдавались, но возможно, что это я где-то накосячил)

@Arsenichev 5 апр 2010 в 11:46

> не работает авторизация с других адресов mail.ru, таких как inbox.ru

Спасибо, я про это совсем забыл, буду исправлять.

@Arsenichev 10 июл 2010 в 21:49

Теперь с адресов таких как inbox.ru и т.п. авторизация доступна через api.mail.ru

@friday 5 апр 2010 в 08:51

> Где то полгода назад я сильно увлекся OpenID

Интересное увлечение. А функцией printf вы не увлекаетесь?

@friday 5 апр 2010 в 08:52

Впрочем, виджет полезный, спасибо.

@akzhan 5 апр 2010 в 08:55

Может, выложите исходники на GitHub? Или проект монетизирован?

@kazkad 5 апр 2010 в 08:59

а https://openid.wmkeeper.com/ не добавите ли?

@Arsenichev 5 апр 2010 в 09:06

Оно уже есть:
1270458310-clip-24kb

@Guria 5 апр 2010 в 09:54

<a href="javascript:LOGINZA.newUser();">Зарегистрируйтесь</a>
Не работает. По клику ничего не происходит.
Chromium 5.0.368.0 (43430) Ubuntu

@Guria 5 апр 2010 в 09:59

причём кнопка продолжить в описанном выше сценарии работает нормально.

@Arsenichev 5 апр 2010 в 11:47

Спасибо, будем тестировать и исправлять.

@Bruteo 5 апр 2010 в 10:02

Спасибо большое!
Буду рад обновлению с поддержкой первой версии openid, чтобы можно было использовать без опасений.

@Flying 5 апр 2010 в 10:56

Большое спасибо, очень интересный вариант для авторизации пользователей, буду пробовать.
Скажите, а локализация интерфейса на другие языки есть/планируется? Навскидку на вашем сайте ничего по этому поводу не нашел…

@Arsenichev 5 апр 2010 в 14:37

Да, планируется. Еще и редактор интерфейса, чтобы самому настраивать порядок иконок провайдеров и их количество в виджете.

@Arsenichev 10 июл 2010 в 21:48

Сделали настройку порядка и набора иконок авторизации в виджете.

@Homakov 5 апр 2010 в 11:09

Напомните кто-нибудь зачем экранировать / в json?:
http:\/\/admin.loginza.ru

@Regis 5 апр 2010 в 12:07

Была бы еще опция — при отсутствии учетных записей на сервисах из списка — просто возвращать на сайт с каким-либо специальным параметром, чтобы пользователя можно было зарегистрировать у себя, а не регистрировать на Логинзе и у себя.

@kostitsyn 5 апр 2010 в 12:15

оо, спасибо, только сегодня подумал, что на всяких разных форумах надо бы делать сквозную или внешнюю авторизацию. Буду использовать, с вашего разрешения :-)

@roller 5 апр 2010 в 12:28

монетезироваться то будете?

@Arsenichev 5 апр 2010 в 14:27

Пока в планах такого не было, да и еще очень рано об этом думать.

@FenixDeveloper 5 апр 2010 в 13:15

Да, последнее время мне тоже приходится работать с технологией OpenID, но на мой взгляд большой минус в количестве сайтов предоставляющих авторизацию и что самое плохое они возвращают разные наборы данных о пользователе что не очень-то удобно. На мой взгляд я бы предложил другой вариант реализации подобной технологии в двух вариантах:

1. Унификация данных пользователей везде (стандартизированный набор данных всех возможных вариантов), чтобы если где-то заполняется профиль
пользователя, то сразу всей необходимой информацией (пользователь естественно сам решает что и когда ему следует заполнить). Также для более продвинутых пользователей есть возможность установить собственный OpenID сервер для собственной учётной записи или даже нескольких для разных случаев (всякое бывает :)).

2. Создание клиентского приложения в котором пользователь сохраняет все свои данные (что не требует кстати доступа в интернет, и данные хранятся в большей безопасности на его компьютере допустим в зашифрованном виде и доступ к ним есть только у программы через мастер пароль например), и при авторизации на сайтах данная программа выступает в качестве OpenID сервера.

Таким образом достичь надо следующего: все данные должны хранится в одном месте, а потребители этих данных будут запрашивать необходимые записи (стандартизированные) и после разрешения пользователя на предоставление тех или иных данных они будут им переданы.

Лично для себя я сейчас рассматриваю вариант 2, создания такого приложения-паспорта, лично мне он кажется гораздо более удобным вариантом, его например даже можно носить на внешнем носителе, что позволит авторизоваться даже с чужих машин. Пока в стадии проектирования и сбора данных (месяц назад всего начал), если будут заинтересовавшиеся то с радостью поделюсь мыслями, приложение планирую делать open source на базе sourceforge.org так что буду рад если найдутся единомышленники.

@Arsenichev 5 апр 2010 в 14:32

Ммм… очень интересная идея, даже очень… Но сразу возник вопрос, а как будет проводиться проверка подлинности введенной информации, то есть какие гарантии будут того, что пользователь предоставляет реальные данные, а не от «балды»?

@FenixDeveloper 5 апр 2010 в 14:42

Встречный вопрос, а сейчас на сайтах данные разве проверяются? OpenID сервер возвращает то что ввёл пользователь, а что он там ввёл никто не смотрит. Подлинность это уже совсем другой вопрос, сначала надо сделать систему авторизации единую, а потом уже к ней придумывать систему проверки подлинности :)

@Arsenichev 5 апр 2010 в 14:48

Ну в случае серверного хранения данных (на конкретном OpenID сервере), в какой то степени есть малось централизации. Ну а если делать такую программу, то полная децентрализация. То есть пользователь полностью сам по себе. Возможно я ошибаюсь, просто сразу возникла такая мысль — рай для «спамеров».

@FenixDeveloper 5 апр 2010 в 15:01

Да, просто рассматривая вопрос централизации хранения данных я решил пойти обратным путем и рассмотрел централизацию просто в другом месте, не чтобы всех пользователей собрать на сервере, а чтобы все данные пользователя собрать у него самого :)

Никаких новых проблем это не привносит как таковых если подумать и рая для спаммеров не создаёт, потому что это та же OpenID авторизация только с сервером на компьютере пользователя, поэтому всё что работает сейчас может работать и дальше также.

@FenixDeveloper 5 апр 2010 в 15:09

Немного поясню ещё отличия и почему я решил именно перенести всё к пользователю. Рассмотрим например сайт hh.ru, пользователь заходит на него, нажимает регистарция, сайт запрашивает от него некий набор данных, пользователь подтверждает передачу (можно настроить для каких полей подтверждать, а какие отдавать без вопросов) и всё, он зарегистрирован. Дальше также необходимо подтвердить емайл допустим активировав аккаунт. После этого он заполняет резюме, причём данные уже могут быть вбиты в его локальный паспорт и он опять же просто подтверждает их передачу сайту.

А касательно спаммеров все методы защиты остаются такими же, устраняется лишь необходимость заполнения форм личными данными и автоматическое обновление данных на сайте при его посещении в случае изменения данных в паспорте.

@Arsenichev 5 апр 2010 в 15:14

Про меры борьбы со спамом в OpenID:
— сайты принимающие авторизацию по OpenID, могут если увидят что какой то сервер грешит спам учетками, просто запретить регистрацию пользователей с него.
— OpenID сервер знает о своих пользователях некоторый набор данных по его активности, и может ввести показатель доверия, который будет доступен сторонним сайтам (кстати такой рейтинг хотят сделать на OpenID.Яндекса, о чем писалось тут)

Еще ссылки про спам проблемы:

@Arsenichev 5 апр 2010 в 15:17

ой, ссылки забыл дать:
Планы яндекса источник

Есть интересная идея придумать (или найти придуманный) протокол, которым Яндекс сможет сообщать целевому сайту относительный уровень доверия пользователю. Сейчас у сайта, который принимает яндексового юзера, есть уверенность только в том, что это не робот, потому что у нас есть CAPTCHA при регистрации. Но ведь мы на стороне сервера знаем, какими сервисами пользуется юзер, а значит можем прикинуть, что если пользователь активно пишет в свой ярушный блог и регулярно загружает фотки, то это скорее всего не спамер, а нормальный сетянин.

А вот полная децентрализация не позволит этого сделать.

@FenixDeveloper 5 апр 2010 в 15:32

Ну на самом деле децентрализация совсем не помешает сделать тоже самое, и можно будет проверять активность даже не по одному сервису, а по нескольким. Ниже подробнее отписался, конечно остаётся вопрос как технически надёжнее это сделать, но и на него я думаю ответ со временем найдётся.

@FenixDeveloper 5 апр 2010 в 15:29

Ну есть о чём подумать, конечно, но вводить критерии доверия от разных сайтов можно и при хранении данных у пользователя.

По описанному выше: блочить весь сервер при большом количестве спам учёток на нём это слишком категорично, такие действия не должны затрагивать других пользователей.

Я бы предложил такую схему: в локальном паспорте пользователя хранить информацию о сервисах где он зарегистрирован, тогда при авторизации на неком новом сайте А, тот может проверить зарегистрирован-ли пользователь на одном из сайтов которому А доверяет. Если такой сайт есть, то с него по токену пользователя запрашивается некий показатель доверия. Так даже можно несколько сайтов проверить. А если на этом сайте А пользователь будет спамить, то его кредит доверия на сайтах которые его подтвердили аннулируется.

Ну на самом деле защита от спама вопрос сложный, сходу конечно такие решения сложно сделать, надо рассматривать множество случаев и это дело далеко не одного дня.

PS А ссылочки заново запостите, а то что-то я их не вижу.

@XeNum 5 апр 2010 в 17:53

1. Чтобы авторизоваться надо пройти 5 (!!!) шагов. Вся прелесть OpenID в минимизации усилий. Регистрация должна быть в 2 шага: нажал кнопку на сайте, где хочешь авторизоваться, подтвердил на сайте провайдера OpenID. Как этого достичь — проблема юзабилиста.

2. В Рамблере можно авторизоваться без ввода e-mail. Просто по урлу.

3. В форме регистрации подсказки находятся «где-то рядом».

4. Что станет с авторизацией, если loginza.ru постигнет хабраэффект или попросту взломают сервак?

@Arsenichev 6 апр 2010 в 08:56

> В Рамблере можно авторизоваться без ввода e-mail. Просто по урлу.

Можно про это поподробнее, что имелось в виду и где на это посмотреть?

@XeNum 6 апр 2010 в 09:15

Авторизация на рамблере происходит аналогично яндексу и гугл. Урл для авторизации:

http://id.rambler.ru/script/openid.cgi

Примеры: moiplan.ru pip.ec

@Arsenichev 6 апр 2010 в 09:33

А где Вы видели авторизацию OpenID по email?

Я не понимаю суть Вашего замечания:
>2. В Рамблере можно авторизоваться без ввода e-mail. Просто по урлу.

@XeNum 6 апр 2010 в 09:39

Хорошо, возможно слово e-mail здесь не самое подходящее, хотя суть отражает. Смысл в том, что я захожу на ваш сайт, жму войти, выбираю рамблер, мне пишет: «Введите логин Вашей учетной записи». Зачем? Это еще одно лишнее и ненужное действие. Я привел примеры где данная возможность реализована без ввода дополнительных данных.

@Arsenichev 6 апр 2010 в 10:31

А теперь все понятно :) Сенкс, будем пробовать.

@signum 6 апр 2010 в 11:30

Я вас поздравляю, вы сделали из секьюрного протокола несекьюрный =)
теперь если вы залогинились на одном сайте с вашим виджетом и поставили галочку «запомнить», вы автоматически залогинились на всех сайтах, где стоит этот виджет.

@Arsenichev 6 апр 2010 в 15:37

Это легко поправимо, сделаем просто уникальный realm (например https://loginza.ru/api/realmKeyUnique/) для каждого token_url. Спасибо, за найденный недочет!

@Arsenichev 8 апр 2010 в 10:56

Собственно, уже исправили.

@saidnavy 4 июн 2010 в 08:44

Удобный инструмент, поставил себе на ряд проектов. Нюансы на которые я обратил внимание:
— Не хватает удобной возможности легко выбирать из всех способов авторизации те, которые нужны именно под конкретный проект
— Не хватает готовых модулей для популярных CMS с набором функционала

Всё остальное вери гут, большое спасибо и удачного развития проекту. Очень и очень радует.

@saidnavy 4 июн 2010 в 08:50

Ну и добавлю, поработайте над безопасностью, есть ряд небольших, но дырок. Стоит закрыть.

@saidnavy 4 июн 2010 в 12:57

Вопрос решили, нет там дырки. Ошибочка вышла.

@Arsenichev 4 июн 2010 в 13:00

Из модулей есть Wordpress наш официальный плагин loginza.ru/wp-plugin
Ну и недавно написанный Drupal плагин docs.drupal.ru/node/45330 от Обухова Никиты

@brammator 10 сен 2010 в 13:03

Скажите, а зачем логинза хочет получить список моих контактов с гугла?

@Arsenichev 10 сен 2010 в 13:53

Получение собственного контакта self и др. контактов имеет одинаковое разрешение. Ваши контакты Логинза не получает, запрашиваются только данные профиля.

@brammator 10 сен 2010 в 13:55

то есть, если я правильно понял, из-за того, што гугл не сделал отдельное разрешение, приходится выдавать логинзе (теоретическую) возможность прочитать список моих контактов?

@Arsenichev 10 сен 2010 в 13:58

Да. Если Вы знаете др. разрешение только на чтение профиля, сообщите.

@brammator 10 сен 2010 в 13:59

понятно, спасибо.

@McLaude 26 июн 2011 в 15:44

Установил Логинзу на свой проект. Все отлично работает, но есть нюанс. Под окошком Логинзы синий квадратный фон, и он выглядит очень коряво. Нельзя ли что-то с этим сделать?

@Meliborn 28 июл 2011 в 16:25

Та же беда, не нагуглил ничего.

Зарегистрируйтесь на Хабре, чтобы оставить комментарий