如何安全地进行跨域身份验证？

Question

所以.我有域A.com,其用户身份验证在域B.com完成.目前我设置了这样,以便登录表单发布到B.com,如果成功,则设置会话cookie并激活重定向到Aloglogged.但是,当表单发布到B.com并且cookie设置为该域时,当我从A.com执行JSON请求时,会话cookie不可用,我不知道他们是否登录.那么问题就变成了,如何解决这个问题呢？

我一直在考虑一个解决方案,其中我会向重定向uri添加一个令牌,然后可以用A.com进行一次身份验证会话创建(浏览器可以使用该令牌来验证与B.com的会话,这样cookie就可以设置为A.com,并且可以在JSON请求中使用.之后令牌将被无效.c).

但是,我不确定这个解决方案有多安全？或者还有其他更安全的解决方案吗？

Answer 1

您当前的解决方案对我来说很好,可以在这种情况下使用.但是出于安全考虑,您可能希望使用一些良好的加密方法对其进行加密,而不是提供普通令牌,并且基于此可以将服务器配置为authentication token在使用之前对其进行加密和解密.唯一的问题是您需要为您的案例选择最佳算法.

除了这个解决方案,您可以考虑会话管理工具.Session Migration,Session Replication和会话共享是我能想到的选项.

以下是Oracle为会话共享提供的解决方案的链接,我认为这对您的情况有帮助.