Como posso implementar com segurança um recurso de login sem senha?

Apenas postou um novo plugin: No More senhas

Atualmente, tenho beta marcada porque fazer login em uma plataforma é um problema delicado e não quero liberar algo que possa ter brechas de segurança. Então aqui está minha consulta:

O is é seguro?

Eu fiz o seguinte para garantir a segurança:

1. Nome de usuário / senha nunca são passados, apenas o único hash.
2. O hash é removido do banco de dados depois que é usado, hashes antigos não foi usado, a menos que o banco de dados seja hackeado, mas você tem problemas maiores.
3. Todas as consultas ao banco de dados do hash foram ignoradas para evitar XSS ataques.
4. nonce adicionado à chamada ajax.
5. nonce e confirmação adicionados ao dispositivo móvel para evitar ataques de CSRF.

Aqui eu tenho uma descrição completa do como funciona .

Próxima versão Espero implementar o oauth via twitter, já que o iOS agora funciona em ...

Obrigado pela sua contribuição antecipada.

Edit: Decidi que, como uma camada adicionada, eu adicionaria uma verificação de ID de sessão para ter certeza de que é o mesmo navegador que faz login como o navegador que iniciou o login do código QR.