Home Sign Up Sign In
vevlins

问一个子站共享 cookie 安全问题？

  •   
  •   vevlins · Mar 20, 2020 · 2127 views
    This topic created in 2424 days ago, the information mentioned may be changed or developed.

    假如一家公司有 xx.com ，下面有 a.xx.com 与 b.xx.com

    1. 两个站安全等级要求不同,b.xx.com 有些敏感信息
    2. 为了统一登录，两个站都读取 xx.com 下的 cookie 作为身份认证
    3. 我作为 a.xx.com 的管理，诱导某些具有 b.xx.com 权限的人点击 a.xx.com,并记录下 cookie
    4. 通过工具替换为此人 cookie，就可以登录 b.xx.com

    这种问题如何解决呢？各自一套认证是可行的，但是成本可能很高，比如子站很多。

  • cookie
  • 子站
  • b.xx.com
  • 认证
    2 replies  •  2020-03-20 20:14:40 +08:00
    linauror
    linauror
    Mar 20, 2020
    1
    认证用一套，比如只做登录检测和常规权限判断，特殊权限各站点再单独判断了
    oott123
    oott123
    Mar 20, 2020 via Android❤️1
    2
    你的模型里面每个子站不能互相信任，而都信任中心服务（登录），那么答案就很明显了——看看 OAuth 是怎么设计的。
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   3989 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 33ms · UTC 07:45 · PVG 15:45 · LAX 23:45 · JFK 02:45
    ♥ Do have faith in what you're doing.