OpenID User Interface Extension 1.0 - DRAFT 0.1

同僚に「OpenIDでポップアップ出したいなら簡単。読んでみて」って言われたので読む。
ドキュメントはOpenID User Interface Extension 1.0 - DRAFT 0.1

■ 2. Overview

It is believed that the User Experience (UX) could be significantly improved if the authentication flow occurred within a separate popup window, making the experience less disruptive to the user. 

ポップアップでUXが大幅に改善されると信じられている。
日本ではどうだろう。PC初心者ではどうだろう。

Although it is possible for Relying Parties to open a popup window for the user to authenticate at the OpenID Provider using the Provider's default user interface, the overall user experience can be optimized if the OP was aware that its UI was running within a popup. For instance, an OP may want to resize the popup browser window when using the popup interface, but would probably not want to resize the full browser window when using the default redirect interface. 

幅とか、サイトによって異なるし、どうしたって画面いっぱいにブラウザ開く人も多いから、ポップアップぐらいしか自分の思い通りのウィンドウサイズにできない。
逆を取ると、ポップアップならOPとして最適な（実際は知らないけど）UXを提供できる可能性がある。

Another optimization is that the OP can close the popup, rather than return a negative assertion if the user chooses to cancel the authentication request. 

ネガティブアサーションについて、今って、
Google :「RPさん、あなたのとこのユーザーさんは拒否しました。もう一回最初からやり直させて頑張ってみて。」
Yahoo! :「RPにログインしたくなかったら、Yahoo!見ていって！」→ http://www.yahoo.com へぶっとばす。（Yahoo! JAPANでも同じ）
「Yahoo!、何やってんの！」って思われるかもしれませんが、実際、戻って他のOP選びなおす人っているのだろうか？そんなにいないような気がする。

OPセレクト直後にポップアップのフローに入るならばネガティブアサーションのときはユーザーを返してやるよりもウィンドウどかんと落とすほうが楽ですね。

This extension also adds support for Relying Parties to indicate the user's language preference to the OP, potentially making the transition from the RP to the OP less disruptive to the user. 

けっこう、今までのOpenIDの仕様ってRPが頑張らないといけないことがたくさんあるように思う。
これからはRPにもやさしいExtensionが増えてくるのかな。

■ 3. Extension Namespace

openid.ns.<alias>=http://specs.openid.net/extensions/ui/1.0

■ 4. Language Preference

When requesting OpenID authentication using the checkid_setup mode, 
the Relying Party MAY send the OP a hint regarding the user's preferred language by sending the following parameters:

多言語サポートのお話。省略。

■ 5. Requesting Authentication in a Popup

やることはシンプル。

The RP SHOULD create the popup to be 450 pixels wide and 500 pixels tall. 
The popup MUST have the address bar displayed, and MUST be in a standalone browser window. 
The contents of the popup MUST NOT be framed by the RP. 

450 × 500。この数字の根拠は？ま、いっか。
アドレスバー表示してってのと、フレームやめてってのはフィッシングとかのお話があるので入ってて良かったです。
この辺、Yahoo! JAPANではアドレスバーのURL＋SSL証明書＋ログインシール で頑張ってます。
こんなコード入れとくとframeの中で開けなくなりますね。。

if (top != self) top.location.href = location.href;

The RP SHOULD open the popup centered above the main browser window, and SHOULD dim the contents of the parent window while the popup is active. 
The RP SHOULD ensure that the user is not surprised by the appearance of the popup, and understands how to interact with it. 

ここまで細かく定義されるとは、素晴らしい。
昔々、ポップアップがすさまじい勢いで出てくる海外のエロサイトとかあったような。

The OP MAY close the popup without returning a response to the RP. 
Closing the popup without sending a response should be interpreted as a negative assertion. 

The response to an authentication request in a popup is unchanged from OpenID 2.0. 
Relying Parties detecting that the popup was closed without receiving an authentication response SHOULD interpret the close event to be a negative assertion. 

ネガティブアサーションのときはOPはだまってウィンドウ閉じる。RPは空気を読む。

■ 6. Discovery

対応するOPは以下をXRDSドキュメントに追加。

<Type>http://specs.openid.net/extensions/ui/1.0</Type>

■ 7. Considerations

OpenID Providers SHOULD use HTTPS for all their authentication screens, and educate their users to always check their browser's address bar before entering their credentials. 
OPs SHOULD implement Javascript framebusting code to prevent their UI from being framed.

これ、上で書いたやつと同じ。

Credential verification and approval screens SHOULD always be in an independent browser window to protect the user's credentials and approval from clickjacking exploits. 

Clickjackingってどうやって防ぐんだっけ？

そういえば、popupのDemoっぽいのが見れるhttp://www.puffypoodles.com/popupって落ちてるのかな？