请求您的凭据时可以信任应用程序吗？

不会。在现代应用程序和 Web 应用程序中，用户已经对用户名、密码和其他各种无害细节的请求变得麻木了。这种共性使用户相信这些信息片段对应用程序很有用。然而，这是错误的。除了极少数例外，应用程序功能不需要身份验证。

事实上，我相信应用程序使用身份验证对用户有害。它使身份验证变得过于普遍，使用户在需要身份验证的情况下变得不那么谨慎和小心。它构建了身份空间，使攻击者更容易猜测您的身份。它简化了密钥空间，使攻击者更容易找到您的密钥。它削弱了运营安全性，降低了有价值资产的安全实践。

这与为所述应用程序的开发人员处理密码实际上不一样吗？

是的，除了极少数例外。即使在协议不直接将密码传递给应用程序或开发人员，而是传递身份验证令牌的情况下，误用和滥用的可能性也很高。甚至 OAuth 也存在漏洞“此协议不会尝试验证服务器的真实性。” .

这难道不是一种非常有效的密码收集方法，对用户来说不是一个可怕的安全风险吗？

是的，即使是无意的，设计不佳的身份验证方案也可以为攻击者提供大量信息。即使您用于典型应用程序的用户名和密码与您用于更重要资产的用户名和密码不同，您使用的模式也有助于攻击者缩小有价值的身份验证范围。相比之下，像 OAuth 这样设计良好的协议有一个光明的一面：它们减少了用户名和密码对的数量，以及设计不佳、实现不佳的身份验证接口的数量。

但是，我们还需要查看 OAuth 服务提供商：Google、Yahoo 和 Facebook。这些公司有兴趣收集和汇总有关用户的信息，专门从这些信息中赚钱。使用这些公司作为身份验证提供者在某种程度上是一种奇怪的信任扭曲。您信任这些公司仅向您指定的各方处理您的身份验证. 虽然他们在向您不知道的各方提供尽可能高分辨率的数据方面存在利益冲突。他们最有效的主张是，他们向第三方提供的有关您的信息是匿名的。他们认为这将是真的，尽管他们现在知道你的身份并且已经验证了它，可能很多次。我一直找不到任何政策明确说明这些提供商永远不会允许您的经过身份验证的身份与其他收集的身份相关联。买者自负。

有问题的应用程序：“连接到 Google Reader 的平板电脑的新闻阅读器应用程序”

此应用程序的目的是监控免费公开在线内容（网站和 RSS 提要）中的新内容，在检测到新内容时通知您，并根据请求显示内容。在线内容不是您独有的，这意味着您无需证明自己的身份即可获取数据。

对您来说唯一的数据是站点列表以及您标记为非新的内容。唯一性需要身份，但不一定需要身份验证。该应用程序使用谷歌阅读器，尽管它可以简单地实现自己的功能而无需使用谷歌阅读器。应用程序可能这样做是为了保持您的数据一致（同步）。您希望能够检查来自多个不同设备的在线内容，而不需要手动更新您在另一台设备上所做的更改。请注意，该应用程序仍然可以在不使用 Google Reader 的情况下与其他设备同步。

您的唯一数据（站点列表和阅读内容）会传入和传出您的设备。身份验证不提供机密性（privacy）。因此，身份验证并不能保护他人查看您的站点列表和阅读内容。身份验证不提供完整性，因此您的数据可能在传输过程中被损坏或恶意修改。身份验证提供的是一种控制数据接收和存储的方法。如果数据来自您，那么它必须是有效的，因此应该接受从您当前设备到所有其他设备的更新，以便您的数据保持同步。

我同意@Sebo 的观点，即这是一种风险。由于 Google 帐户是为许多 Google 服务共享的，因此将您的 Google 帐户密码透露给新闻阅读器应用程序感觉有点不确定。获得用户 Google 帐户密码访问权限的人可能会获得有关该用户的大量敏感信息。

我同意@Steve Dispensa 的观点，即 OAuth 将是一个很好的解决方案。事实上，谷歌 似乎已经支持对谷歌阅读器的OAuth 访问——所以没有什么能阻止新闻阅读器应用程序利用这个解决方案。如果您的新闻阅读器应用程序是为使用 OAuth 而编写的，则不需要存储您的 Google 密码。不幸的是，OAuth 并没有像它可能的那样广为人知。

你的担心是对的。大多数用户在一种或另一种情况下重复使用密码，并且大多数用户不记得他们在哪里做了什么（除非他们只是在任何地方使用相同的一两个密码）。

解决此问题的一种可能方法：

https://secure.wikimedia.org/wikipedia/en/wiki/OAuth

另一个潜在的解决方案是 OpenID：

https://secure.wikimedia.org/wikipedia/en/wiki/OpenID http://myopenid.com

我认为存在巨大的安全风险。即使它是一个 iPhone 应用程序并且苹果审查了它。

如果谷歌引入了一些别名登录，那就太好了。这样您就可以设置不同的用户名和密码。使用该用户名只能访问来自谷歌的某些服务。

我通常为谷歌阅读器创建一个单独的帐户。