PHP OpenID不能与Google/Yahoo一起工作,hacks可以修复它……它们安全吗?

尤其是CURLOPT\u SSL\u VERIFYPEER 和CURLOPT\u SSL\u VERIFYHOST为true by 为测试页面工作!

google.com 请求 bad-guys.example bad-guys !"

当然,除非您不验证任何证书(您设置了所有 SSL_VERIFY 选项 false 坏人 好像它是真正的谷歌供应商。你可以想象那是多么糟糕。

坦白说,这不是 最差的 你可以做出选择,因为这并不比仅仅使用HTTP更糟糕,很多人都这么做。你只是 lying to your users 如果你暗示你正在提供HTTPS级别的安全性,而你没有。

而且有很多关于基于dns的攻击有多容易或不容易,或者攻击有多容易的信息 forge SSL certificates . 不管是哪种方式,它都需要有人攻击你的服务器和Google之间的连接 通常地 比攻击咖啡店用户的笔记本电脑和服务器之间的连接更难。

但是,实际上修复PHP或CURL SSL配置要好得多。或者,如果你不这样做,在用户注册HTTPS标识符时警告他们,这样他们就可以选择是否真的想在你的站点上使用这个OpenID。

Curl docs on SSL certificates ; 请参阅“获取更好/不同/更新的CA证书捆绑包”部分

来自维基百科关于 Certificate Authority

CA颁发包含公钥和所有者身份的数字证书。当最终用户试图访问未知URL时,web浏览器(如Mozilla Firefox和Microsoft Internet Explorer)将与CA联系以确认URL的公钥。

... 所以CA证书是 Public Key Certificate 用于通过 https:// CURLOPT_CAINFO 指向其位置的常量。 See this article .

http://unitstep.net/blog/2009/05/05/using-curl-in-php-to-access-https-ssltls-protected-sites/

[…]有人知道不这样做的理由吗 使用这些黑客版本?

除此之外,他们是黑客版本,这是最有可能没有文件,并没有保证他们的行为?

我不能具体回答,但当您使用应用了快速修复和解决方法的模块时,应该会有一些警告灯闪烁,特别是在处理授权和安全性时。。我认为最好的建议是“使用风险自负!”

我相信对这个话题有更多了解的人很快就会得到一个更明智的答案。