本文系统性地研究了Web上代理单点登录（Brokered Single Sign-On, SSO）的安全性。代理SSO是一种流行的身份验证机制，网站依赖第三方身份提供商（如Google、Facebook、Apple等）进行用户认证。虽然这种模式简化了登录流程，但也引入了额外的安全风险，因为网站将身份验证的关键步骤委托给了外部实体。研究者首先提出了一种针对代理SSO的安全缺陷分类法，涵盖了从协议设计到实现的多个层面。接着，他们开发了自动化工具，对数千个使用代理SSO的网站进行大规模安全测试，识别出多种安全漏洞，包括不安全的令牌处理、缺少状态验证、会话固定攻击等。实验结果显示，许多流行网站和身份提供商都存在实现缺陷，可能导致账户接管或用户身份冒充。该研究通过具体案例展示了攻击者如何利用这些缺陷，并讨论了标准化组织（如IETF）和身份提供商应如何改进安全指南和实现。论文的主要贡献在于：首次提出了面向代理SSO的全面安全分类法，开发了高效的自动化扫描方法，并揭示了现实世界中广泛存在的安全弱点，为提升Web身份验证的安全性提供了重要参考。