通过URL透明登录

Question

我要修改两个不同的网络应用程序，也就是"Foo“和"Bar”。

它们都运行在https下，第一个在https://example.com/foo，后者在https://another.com/bar。

我的目标是在Foo上放一个链接，这样我就可以在Bar.上自动登录。

就像这样：

<a href="https://another.com/bar/auth?token=das456s5a4sda2121asae">Click</a>

这些应用程序托管在不同的服务器上，但它们都可以访问同一个数据库。

鉴于上述情况，在使用URL参数对用户进行身份验证之前，我应该考虑什么？

例如，我需要生成令牌。我应该只加密用户+过期日期吗？对于令牌的产生还有其他的建议吗？

我可以使CORS，但我会留下作为最后的手段。

不确定这是否相关，但Bar使用Spring-Security

Answer 1

为了具有适当的安全性，您需要为SSO (单点登录)使用一些额外的服务作为CAS (中央身份验证服务，Service)。

你可以使用http://www.jasig.org/cas。

如果你继续使用令牌的预连接，

• 任何有连结的人，都可以登入你的网站。
• 您必须为每个站点复制相同的机制实现。