我想对于日常网站没有真正好的解决方案（例如，不是用户接受的高知名度网站，例如银行，并且经济允许两因素身份验证）。只能选择一种负面影响尽可能小的解决方案。

不幸的是，人们不擅长记住大量密码。这导致他们要么在不同的服务上重复使用相同的密码，要么将它们写下来（在纸上或密码管理器上）。是的，建议创建一个包含站点名称的密码系统。

但是人很懒惰。密码重用比中央帐户更糟糕，因为这意味着任何应用程序中的漏洞都会泄露密码。

在Stendhal游戏中，大多数帐户黑客都是由家庭成员完成的。我想这对于游戏来说是特别的。下一组是随机猜测用户名/密码。但是有少量的黑客尝试是基于获得对电子邮件帐户的访问权限。虽然我们不允许使用电子邮件自动重置密码，但许多网站都允许。Twitter 的高层管理人员利用过期的 Hotmail 电子邮件帐户和重复使用的密码被黑客入侵。

因此，如果您考虑允许通过电子邮件重置密码，则将身份验证过程委托给大公司几乎没有额外的风险。他们都采取了适当的措施来使攻击者更加难以攻击（通过手机消息恢复可疑活动、登录历史记录、来自其他县的登录尝试警告等）。在您自己的站点中实施这些工作需要做很多工作。

就个人而言，我更喜欢客户经理方法（规范）而不是信任其中一家公司。另外，它没有网络钓鱼问题。不幸的是，该项目似乎没有取得任何进展。

最后，我们决定让 Stendhal 同时支持 OpenID 和本地帐户，并让用户决定。

从安全的角度来看，拥有一个久经考验的机制几乎总是比自己动手要好。实施错误是破坏良好安全概念的最常见方式之一。

从可用性的角度来看，我更喜欢 oauth，它易于使用，因此对于您的最终用户来说，这是一个巨大的好处。普通的非技术用户被公开的安全性所推迟，因此最大限度地减少对安全功能的入侵对于拥有大量用户的网站来说是一个胜利。

网络钓鱼的风险实际上并没有更大 - 人们无论如何都不会关注电子邮件的来源:-)

OAuth 等系统的好处是：

• 世界上存储用户登录凭据的数据库更少。考虑到 Twitter 之类的服务，这意味着您的用户名和密码只有 Twitter 知道，Favstar、亚马逊、LinkedIn、纽约时报和所有其他构建在该服务之上的应用程序不知道。
• 正如@Rory 所说，该系统已被广泛使用，并且已经过测试并（希望）在适当程度上得到了保护。

这两个好处都解决了您的第 1 点：好的，因此所有这些服务都使用相同的密码，但无论如何它们都必须使用您的 Twitter 帐户，因此最好确保不存储这些“通用”凭据在各种地方都有各种保护措施。

主要缺点与影响所有登录 UI 的缺点没有什么不同：任何人都可以制作一个看起来像这样的登录 UI，并使用它来获取您的凭据。

如果没有考虑到特定场景和威胁模型，很难回答您的问题。

但一个明显的胜利是经典的OAuth 用例。事实证明，用户非常愿意为一个网站提供另一个网站的密码，例如他们在 Shelfari 等社交网站上的 Google 密码。正如 Kalsey 指出的那样，他们有时会对Shelfari 使用该密码所做的事情感到非常惊讶，而且由于Shelfari 可以完全冒充他们，谷歌无法轻易阻止滥用行为。

现在，使用 OAuth，像 Shelfari 这样的应用程序只能通过 API 获得对用户联系人数据库的部分访问权限，而 Shelfari 将使用 Google 可以轻松撤销的 API 密钥。

在现实世界中，用户很可能在多个站点上重复使用密码，因此您在 #1 中的攻击有可能在很多地方都有效。事实上，我们可以希望用户为他们重要的 OpenID 站点使用更好的密码，或者使用 2-factor auth，或其他任何方式。

至于 #2，OpenID 登录的要点是，当您注意到您在其他网站上登录时，运行一个认为您未登录的站点变得不寻常。另一方面，在没有 OpenID 或 OAuth 的情况下，让网站看起来像 twitter 并链接到该网站并希望说服人们登录并获取他们的密码已经很简单了。如果人们总是登录 Twitter（例如通过 OAuth 或 OpenID 登录其他网站），那么他们可能会问为什么他们还没有登录。