Comments 37
Подозреваю, что-то подобное со временем получится у Google (наверное в первую очередь для GoogleOS)
Не факт, что именно openID 2, думаю стандартом станет чьи либо наработки на базе первой версии и называться будут по своему, но в общем и целом согласен с вами.
В классическом способе не раскрыт вариант использования e-mail вместо логина. Что практически сразу избавляет его от всех минусов вроде запоминания логина/занятости логина другим человеком.

Лучший вариант — комбинированный email/pass + openid
а еще после регистрации система сама может авторизовывать пользователя, это гораздо удобнее конечному…
Такая возможность разумеется есть, но разовая авторизация не сильно упрощает жизнь, да и остается минус в самой регистрации персонально для каждого ресурса, что с учетом защиты (капчи, подтверждение по e-mail'y) может отнимать достаточно времени.
Предлагаю рассмотреть такой способ:

— Для регистрации или регистрации пользователь указывает только e-mail
— Генерируем рандомный пароль и сохраняем email и пароль в БД
— На указанный e-mail приходит ссылка для входа на сайт

При такой схеме пользователю не нужно помнить лишнюю информацию, только свой e-mail. Регистрация также очень проста.
К сожалению, когда вы зайдете с другого компьютера вам опять придется авторизироваться — а следовательно вспоминать хотя бы пароль.
Вы не поняли, пользователь вообще не знает своего пароля. Для авторизации ему нужно ввести e-mail на сайте, в ответ ему придёт ссылка (вида site.ru/login.php?email=info@mail.ru&password=12345), по которой он переходит и сайт его авторизует.

Если ему нужно авторизоваться с другого компьютера — он опять вводит e-mail, получает ссылку и переходит по ней.
Мне кажется это несколько тернисто, возможно я не прав, но почему-то уверен, что мне было бы неудобно.
Не жизнеспособно.
Предполагаем ситуацию: есть рабочий e-mail. Доступа к нему через web-интерфейс нету — только почтовый клиент.
В гостях я не смогу войти под своим логином — нужно ставить почтовый клиент. С мобильного телефона быстро войти не смогу.

Да и в остальных случаях мне рано или поздно надоест необходимость постоянно заходить в почту, чтобы авторизоваться.

Вообще такой способ ничуть не проще тычки «забыли пароль». Точно так же придет ссылка на емайл.
Да, это по-сути тоже самое, что «вспомнить пароль», однако в моём случае есть два преимущества:

— пользователю не нужно придумывать и помнить пароль
— пароль генерируется системой, а значит он намного более стойкий

Случай который вы описали не позволит авторизоваться, но я думаю что это исключительный случай.
Ну модифицируем алгоритм восстановления пароля:

На емайл приходит новый пароль, сгенерированный системой и ссылка.
После перехода по ссылке пользователь активирует новый пароль и автоматически логинится. Если захочет сменить пароль — может сделать это в профиле.

Итого имеем — классический способ, проверенный временем, и неудобную плюшку, которая может кому-то понравится. :)
А в чём вы видите неудобство?
(кроме ситуации когда нет доступа к почте, ибо я считаю это надуманным)
Ну во-первых ситуация с почтой не надумана.
Например, у меня на работе:
За почтой следит Microsoft Exchange Server, аутентификация через Kerberos. Соответственно, чтобы открыть почту нужно быть в домене active directory. Т.е. из дома я этого сделать не смогу. (коннект через imap или web-интерфейс тоже возможен, но для этого нужно получить отдельный пароль у админа)

Во-вторых: я, например, дома редко проверяю почту — там не может быть ничего срочного и архиважного (для этого есть есть другие средства коммуникации). Открывать каждый раз почту из-за такого сайта я не буду.

В общем:
Я не вижу смысла заменять классический и привычный подход инновационным, если их можно совместить так, что ни один не потеряет в удобстве (что я и показал выше).
Если все OpenID провайдеры будут в обязательном порядке использовать хотя бы минимальный набор sreg/ax атрибутов, необходимых для регистрации на разных ресурсах (т.е. как минимум email), то проблем станет сильно меньше. А то толку от OpenID, если ты в итоге о человеке ничего вообще не знаешь и все равно приходится заставлять его вводить хотя бы ник и почту…
Я расписывал в «мечтах», подобный способ социализации openID, кроме e-mail'a так же хотелось бы видеть минимальные данные о самом человеке, если не ФИО, так хоть способ обращения, который он/она предпочитает(банально: уважаемый/ая, мистер/миссис и т.д.)
не могу согласиться с автором по поводу «отсутствие поддержки со стороны крупных и популярных ресурсов» — например такие крупные игроки поддерживают openid — google, yahoo, livejournal и это еще далеко не все
Я имел в виду то, что OpenID не является основным стандартом ни у google, ни у yahoo, ни y жж
Толи инет лагает, толи хабр, прошу прощения за такое кол-во повторений.
Проблема не в отсутствии провайдеров среди крупных игроков, а в отсутствии клиентов среди них.
я это и имел в виду, крупные компании не спешат поддерживать базовую технологию, но с удовольствием накручивают что-то свое поверх, а для удобства нужен именно железный стандарт, без каких либо нареканий, а с этим к сожалению всегда тяжело.
Подобный комментарий уже был, но я все же напишу еще раз, более развернуто.
В статье обсуждается процесс аутентификации — «узнавания» пользователя.
А авторизация — это процесс определения прав пользователя: например, один пользователь, написавший статью, может ее редактировать, остальные могут только комментировать ее. А Администратор может ее скрыть.
Спасибо, тем не менее здесь рассматриваются эти два понятия как смежные, а регистрация пользователя так и вообще может рассматриваться как часть и аутентификации и авторизации, с одной стороны мы «узнаем» пользователя, с другой стороны — пользователь получает привилегии зарегистрированного т.е. авторизируется.
Конечно эти понятия смежные, но, возможно по невнимательности, я не увидел ни слова про авторизацию. Все же в статье речь идет исключительно об аутентификации. А «привилегии зарегистрированного [пользователя]» могут быть очень разными и именно этим и занимается авторизация.

Я просто хочу посоветовать немного переименовать статью, т.к. я открыл статью в надежде почитать про одно, а здесь — про другое.
Прошу прощения за неоправданные ожидания, пожалуй действительно переименую, дабы избежать недопонимания.
и в первом предложении «авторизации» -> «аутентификации», а то определенный сумбур все же вносит (:
Возможно просто браузер может взять на себя функцию удостоверения пользователя на сайтах. Уже сейчас многие доверяют пароли, закладки и прочую информацию разработчикам браузеров. Тогда просто отпадут все эти формы бесконечные. Заходишь на любой сайт, браузер сообщает твой id и подтверждающие данные в формате одной из систем, с которой он работает, сайт проверяет id на сервисе системы, получает открытую публичную информацию о тебе, и ты уже залогинен, даже если зашел на сайт первый раз. Но, конечно здесь исчезает тайна личной жизни.
Я тоже о подобном думал. Но необязательно слать какой-то id сайту всегда. Пусть это будет немного модифицированый OpenID. Есть какойто сервис (service.com). Регаемся на нем, и я получаю id — kastigar@service.com (не обязательно мыло, но в том же формате). Далее логинимся в браузере (с помощью экстеншена, например, если браузер не поддерживает нативно). Теперь на любом сайте site.com вводим наш айди kastigar@service.com, site.com шлет на service.com, что kastigar хочет авторизироваться и урл авторизации. Теперь экстешен/браузер получает от service.com ссылку авторизации и идет туда.
Вобщем сумбурно и не оптимизировано, но как-то так. По сути мы не шлем какой-то id всем сайтам, по которому можно получить публичные даные, но и не нужно авторизироватся на сайте провайдера openID (избегаем возможности фишинга).
«вводим наш айди» = нажимаем кнопку на панели браузера, страница обновляется и вы зашли на сайт. Можно избавиться от форм ввода на сайтах.
Уже накидал простенькую схемку )
Может попробовать реализовать… Уверен любая технология в свое время с таких слов и начиналась )
Only those users with full accounts are able to leave comments. Log in, please.