Najlepszy sposób na wdrożenie jednokrotnego logowania ze wszystkimi głównymi dostawcami?

Jako autor tej odpowiedzi chcę zauważyć, że uważam ją za nieaktualne . Ponieważ większość dostawców zdecydowała się na wyłącznie wdrożenie Oauth zamiast Openid. Nowsze usługi Openid będą również prawdopodobnie używać OpenID connect, który jest oparty na oauth. Istnieją dobre biblioteki, takie jak na przykład: https://github.com/hybridauth/hybridauth

Po omówieniu już istniejącej odpowiedzi podsumowuję:

Niektóre z nich wymagają od użytkownika podania nazwy użytkownika do zbudowania punktu końcowego openid. Niektóre z nich (te wymienione powyżej) mają adresy URL do wykrywania, gdzie identyfikator użytkownika jest zwracany automatycznie, tak że użytkownik musi tylko kliknąć. (byłbym zadowolony, gdyby ktoś mógł wyjaśnić tło techniczne)

http://my-facebook-openid-proxy-subdomain.mydomain.com/?id=facebook-user-id

Skonfigurowałem go również do pobierania adresu e-mail i nazwy i zwracania go jako atrybuty AX.

Więc moja strona musi tylko zaimplementować opend id i jest dobrze:)

Buduję je na klasach, które można znaleźć tutaj: http://gitorious.org/lightopenid

<?php
require 'LightOpenIDProvider.php';
require 'FacebookProvider.php';
$op = new FacebookProvider;
$op->appid = 148906418456860; // your facebook app id
$op->secret = 'mysecret'; // your facebook app secret
$op->baseurl = 'http://fbopenid.2xfun.com'; // needs to be allowed by facebook
$op->server();
?>

I Kod źródłowy FacebookProvider.php:

<?php
class FacebookProvider extends LightOpenIDProvider
{
    public $appid = "";
    public $appsecret = "";
    public $baseurl = "";

    // i have really no idea what this is for. just copied it from the example.
    public $select_id = true;

    function __construct() {

        $this->baseurl = rtrim($this->baseurl,'/'); // no trailing slash as it will be concatenated with
                                                    // request uri wich has leading slash

        parent::__construct();

        # If we use select_id, we must disable it for identity pages,
        # so that an RP can discover it and get proper data (i.e. without select_id)
        if(isset($_GET['id'])) {
            // i have really no idea what happens here. works with or without! just copied it from the example.
            $this->select_id = false;
        }
    }

    function setup($identity, $realm, $assoc_handle, $attributes)
    {
        // here we should check the requested attributes and adjust the scope param accordingly
        // for now i just hardcoded email
        $attributes = base64_encode(serialize($attributes));    

        $url = "https://graph.facebook.com/oauth/authorize?client_id=".$this->appid."&redirect_uri=";

        $redirecturl = urlencode($this->baseurl.$_SERVER['REQUEST_URI'].'&attributes='.$attributes);
        $url .= $redirecturl;
        $url .= "&display=popup";
        $url .= "&scope=email";
        header("Location: $url");
        exit();        

    }

    function checkid($realm, &$attributes)
    {
        // try authenticating
        $code = isset($_GET["code"]) ? $_GET["code"] : false;
        if(!$code) {
            // user has not authenticated yet, lets return false so setup redirects him to facebook
            return false;
        }

        // we have the code parameter set so it looks like the user authenticated
        $url = "https://graph.facebook.com/oauth/access_token?client_id=148906418456860&redirect_uri=";

        $redirecturl = ($this->baseurl.$_SERVER['REQUEST_URI']);
        $redirecturl = strstr($redirecturl, '&code', true);
        $redirecturl = urlencode($redirecturl);     
        $url .= $redirecturl;
        $url .= "&client_secret=".$this->secret;
        $url .= "&code=".$code;
        $data = $this->get_data($url);

        parse_str($data,$data);

        $token = $data['access_token'];

        $data = $this->get_data('https://graph.facebook.com/me?access_token='.urlencode($token));
        $data = json_decode($data);

        $id = $data->id;
        $email = $data->email;
        $attribute_map = array(
            'namePerson/friendly' => 'name', // we should parse the facebook link to get the nickname
            'contact/email' => 'email',
        );

        if($id > 0) {

            $requested_attributes = unserialize(base64_decode($_GET["attributes"]));

            // lets be nice and return everything we can
            $requested_attributes = array_merge($requested_attributes['required'],$requested_attributes['optional']);
            $attributes = array();
            foreach($requested_attributes as $requsted_attribute) {
                if(!isset($data->{$attribute_map[$requsted_attribute]})) {
                    continue; // unknown attribute
                }
                $attributes[$requsted_attribute] = $data->{$attribute_map[$requsted_attribute]};    
            }

            // yeah authenticated!
            return $this->serverLocation . '?id=' . $id ;
        }
        die('login failed'); // die so we dont retry bouncing back to facebook
        return false;
    }
    function get_data($url) { 
      $ch = curl_init();
      $timeout = 5;
      curl_setopt($ch,CURLOPT_URL,$url);
      curl_setopt($ch,CURLOPT_RETURNTRANSFER,1);
      curl_setopt($ch,CURLOPT_CONNECTTIMEOUT,$timeout);
      $data = curl_exec($ch);
      curl_close($ch);
      return $data;
    }    

}

To tylko pierwsza działająca wersja (szybka i brudna) Niektóre dynamiczne rzeczy są zakodowane na twardo do moich potrzeb. To powinno pokazać, jak i że można to zrobić. Cieszę się, że ktoś to podniósł i poprawił, albo przepisał czy coś :)

Cóż uważam to pytanie za odpowiedź

Ale dodaję bounty tylko do dyskusja. Chciałbym wiedzieć, co sądzisz o moim rozwiązaniu.

Przyznam nagrodę za najlepszą odpowiedź / komentarz obok tej.