たけまる / 複数の OpenID を切り替えて使うときの振る舞い

■ 問題の再現方法

ひとつの IdP から複数の OpenID を取得します．今回は livedoor と
Vox でテストしました．

適当な Consumer に 1つめの OpenID (例 http://example.com/foo) でロ
グインを試みます．すると，IdP に redirect されるので，ユーザ名 (foo)
とパスワードを入力します．そして，Consumer に redirect されます．

次に，Consumer からログアウトし，2つめの OpenID (例 http://example.com/bar)
でログインを試みます．予想では，ユーザ名 (bar) とパスワードの入力
を求められると思っていました．

ところが，livedoor では「認証に失敗しました」というエラーが表示さ
れます．

Vox では，1つめのユーザ名 (foo) でログインした Vox サイトがされま
す (Consumer に redirect されることもありません)．

(2008-01-09追記) はてなで試したら，「現在ログイン中のユーザではあ
りません」という的確なエラーが返ってきました．

ユーザとしては，1つめのユーザ名 (foo) はログアウトし，2つめのユー
ザ名 (bar) とパスワードを入力することを期待するように思います．

■ 原因の分析

OpenID では，ユーザが IdP にログインしていなければ，次のような処理
が行われると思います．ここでは，IdP でのユーザ名を foo とし，
OpenID を http://example.com/foo として説明します．

未ログイン状態での正常な処理

0. ユーザは，IdP にログインしていない
1. ユーザは，Consumer サイトで OpenID (http://example.com/foo) を入力
2. Consumer は，association などを行った後，ユーザを IdP に redirect
3. IdP は，ユーザがログイン状態かどうかをチェック
4. 未ログイン状態であれば，IdP は，ユーザを Setup URL に redirect
5. ユーザは，ユーザ名 (foo) とパスワードを入力
6. IdP は，ユーザ名 (foo) とパスワードをチェック
7. OK であれば，ユーザを Consumer (return_to URL) に redirect

3. でログイン状態をチェックするときに，ユーザが異なるユーザ名でログ
インしていると，問題が発生します．

異なるログイン常態でのおかしな処理

0'. ユーザは，ユーザ名 bar で IdP にログインしておく
1.  ユーザは，Consumer サイトで OpenID (http://example.com/foo) を入力
2.  Consumer は，association などを行った後，ユーザを IdP に redirect
3.  IdP は，ユーザがログイン状態かどうかをチェック
4'. ユーザ名 bar でログイン状態であるが，要求 OpenID は
    http://example.com/foo であるため，IdP は混乱する

■ 「シングル再ログイン」の実現方法

[2007-12-30-1] で紹介した Idp 実装では，次のようにして問題を解決し
ています．

まず，/logout というページを用意します．このページにアクセスすると，
ログアウト処理を行った後に /login に redirect するようにしておきま
す．クエリ変数があれば，それらは引き継ぎます．

たとえば，/logout?openid.identity=http://example.com/foo&... にア
クセスすると，ログアウトしたあとに，/login?openid.identity=http://example.com/foo&...
に redirect されるわけです．

この /logout を Setup URL として設定しておきます．

さて，ユーザがアクセスしてきたときに，ログインユーザ名と OpenID が
異なっていたとします．ここで，ユーザは Setup URL に redirect されま
す．すると，ユーザはログアウトした後に /login に redirect されます．
ユーザは未ログイン状態であるため，正常通りに Open ID 処理が行われま
す．

つまり，ログインユーザ名と OpenID が異なっていたとき，IdP はユーザ
をログアウトさせてしまえば良いということです．

これって，すでに OpenID 界隈では議論されているんでしょうか?