使用嵌入JS（CORS + AJAX請求）安全跨域登錄

想象我跑sso.com，一箇中心網站登錄，與啓用CORS-API
我想運行20+ 靜在其他域上的網站（例如由Jekyll,Hugo生成），例如static1.org，static2.net。
是否可能，是它安全呈現客戶端「已登錄爲X」，這些靜態網站「轉到我的儀表盤」（等）？
- 我想他們需要執行跨域AJAX請求sso.com。
- 這將檢查cookie並獲取經過身份驗證的用戶數據。
- 然後，它可以將小部件放入靜態頁面。大多數這些小部件將鏈接到sso.com。

我無法在實踐中找到正在做這種情況下的任何例子。那是因爲它實際上是一個安全問題？我們是否需要對批准的CORS域名列表非常小心？使用嵌入JS（CORS + AJAX請求）安全跨域登錄

2016-02-20 Tom Rees

您應該閱讀https://staticapps.org/articles/authentication-and-authorization/ – approxiblue

@approxiblue：謝謝。不相關的，但我認爲你刪除Jekyll/Hugo標籤的決定意味着，建立類似基礎設施的人不太可能會看到這個問題。 –

我將它們刪除，因爲我認爲您的問題一般適用於靜態網站，但如果您願意，可以將它們添加回去。 – approxiblue

這聽起來像是如何將數據提供給大型網站（Facebook，Google等）。

至於安全去，只要你是驗證服務器端，並確保關鍵帳戶操作（保存的東西到數據庫，改變數據庫等等等等）都是做服務器端，那麼你應該完全安全的做到這一點。

這裏的關鍵是確保敏感數據由服務器處理，而不是客戶端。如果你牢記這一點，你可以考慮安全性構建應用程序。另外，永遠不會相信用戶輸入。

我希望這有助於！

2016-02-22 18:11:43 Derek

所有的好建議。你可以指向任何FB/Google屬性嗎？我可以看到YouTube和Gmail正在分享登錄狀態，但我不知道他們是如何實現這一點的...... –

您需要關於此方法的幫助？ – Derek

嗯，我剛剛意識到我的問題中概述的方法與Youtube + Gmail採用的方法不同。可能與以上關於cookie安全性的討論不相關。 –

回答