为什么我不应该使用Facebook Connect或OpenId登录用户？

Question

杰夫阿特伍德认为,我们应该停止要求用户在我们的网站上注册,因为我们应该使用他们的"互联网驱动程序许可证 - 即他们现有的Twitter,Facebook,Google或OpenID凭证"进行身份验证.

虽然我开始认为他可能是对的,但我还不能决定,而且我正在寻找反对让外国网站控制个人网页的论据.

您是否认为对此类用户进行身份验证有任何危险？

Answer 1

以下是一些原因,尽管每个都有警告:

如果您只使用一项外部服务进行身份验证,则任何不使用该服务的人都无法使用您的服务.
如果您的外部身份验证服务出现故障,用户将无法使用您的身份验证服务,直到他们重新启动; 同样,他们的身份验证服务器的速度减慢也会影响你.
要求用户使用其他服务进行身份验证要求他们接受该服务的EULA,这可能是某些服务的岔路口; 同样,它会在道德上与您的身份验证服务做出的任何决定联系在一起.特别是它可以使您看起来像auth站点的卫星,衍生或附属,因为用户每次尝试使用您的服务时都必须看到他们的徽标.
外部auth域可以获得收视率的完美快照,让他们对您公司的工作有很多了解.由于他们的分析工具和员工通常都是一流的,他们可能会比您更了解您的用户群.

避免此问题的主要方法是允许人们使用他们选择的服务,而不是单一服务.如果您仅限于开发一个,对于开发时间限制,使用OpenID是最好的选择,因为许多其他身份验证域也有资格作为OpenID,因此可以改善上述大多数问题.

Answer 2

如果你想从之前处理过这项技术的人那里得到更深入的回应,你应该听听Rob Connery最近的.NET Rocks,这正是关于这个话题的. http://www.dotnetrocks.com/default.aspx?showNum=626

听完之后我决定不在我的网站上使用OpenID.