跨域登录-从一个域转移到另一个域时，如何自动登录用户

Question

我们提供许多在线服务。我们需要开发一种系统，如果用户从一项服务（上domain1.com）转移到另一项服务（上），则可以为用户提供快速/简单的体验domain2.com。用户转移到新服务后，是否存在一种安全可靠的方式来自动登录？如果以下解决方案完全不安全/错误，请对我大喊。我们正在考虑一种类似于许多在线服务提供的用于密码恢复的系统-通过电子邮件向他们发送一个链接，该链接具有唯一的哈希值，该哈希值已过期，允许他们更改密码。该domain1.com站点将生成一个唯一的哈希并将其存储在数据库中，该哈希将链接到用户以及到期日期时间字段。用户将被转移到 domain2.com/auto/?hash=d41d8cd98f00b204e9800998ecf8427edomain2.com接下来将domain1.com使用哈希向发出请求，以获取有关用户的信息。domain1.com然后从数据库中删除哈希。domain2.com将登录用户并设置cookie等。基于OpenID或OAuth的东西能否达到相同的结果？

Answer 1

除非您在整个会话中都使用SSL，否则跨域登录将不会使用SSL。窃取会话Cookie就像在URL中使用哈希一样容易。如果会话的其余部分不安全，那么在SSL中隐藏哈希的意义何在？

顶部给出的方法几乎是标准方法。是否选择使用安全协议完全是另一回事，但是仅加密部分会话将毫无意义。