本文目录导读：
《跨域设置Cookie实现单点登录：原理、步骤与安全考量》
单点登录概述
单点登录（Single Sign - On，SSO）是一种身份验证机制，允许用户使用一组凭据（如用户名和密码）登录到多个相关但不同域的应用程序，在现代的分布式系统和多应用的企业环境中，单点登录提供了极大的便利性，提高了用户体验并简化了系统管理，跨域设置Cookie是实现单点登录的一种关键技术手段。
跨域与Cookie的基本概念
1、跨域
图片来源于网络，如有侵权联系删除
- 在Web开发中，跨域是指一个域下的网页去请求另一个域下的资源，出于安全考虑，浏览器遵循同源策略，即协议、域名和端口都相同的资源才被视为同源。http://example1.com和http://example2.com是不同源的，当从example1.com的网页向example2.com发送请求时，就涉及跨域问题。
2、Cookie
- Cookie是存储在用户浏览器中的小文本文件，由服务器发送给浏览器，浏览器在后续的请求中会将Cookie包含在内发回给服务器，Cookie可以用于存储用户的身份标识、会话信息等，当用户登录到一个网站时，服务器可以设置一个包含用户登录状态信息的Cookie，这样在用户访问该网站的其他页面时，服务器通过检查Cookie就可以知道用户已经登录。
三、跨域设置Cookie实现单点登录的设置步骤
（一）前端部分
1、初始登录请求
- 在单点登录系统中，用户首先访问其中一个应用（假设为app1.example.com）并发起登录请求，前端页面（如HTML + JavaScript）会将用户输入的用户名和密码发送到认证服务器（例如auth.example.com），这个请求可以通过AJAX或者普通的表单提交方式进行。
- 在发送请求时，需要注意处理跨域问题，对于现代浏览器，可以使用CORS（跨域资源共享）机制，在前端的AJAX请求中，需要设置withCredentials属性为true，这样浏览器才会在跨域请求时携带Cookie。
```javascript
var xhr = new XMLHttpRequest();
xhr.open('POST', 'https://auth.example.com/login', true);
xhr.withCredentials = true;
xhr.setRequestHeader('Content - type', 'application/json');
xhr.send(JSON.stringify({username: 'user', password: 'pass'}));
```
2、处理登录成功后的重定向
- 当认证服务器验证用户凭据成功后，它会设置一个用于标识用户登录状态的Cookie，这个Cookie需要设置适当的属性，如Domain属性，以确保在相关的子域或跨域场景下能够正确共享，如果希望在example.com及其所有子域下共享Cookie，Domain属性可以设置为.example.com。
- 认证服务器然后会重定向用户到最初请求登录的应用（app1.example.com），在重定向过程中，浏览器会自动携带刚刚设置的Cookie。
- 在app1.example.com的前端页面中，需要检查是否接收到了表示登录成功的Cookie，这可以通过检查document.cookie属性或者在后续的AJAX请求中观察是否包含登录相关的Cookie来实现。
（二）后端部分
1、认证服务器设置Cookie
- 在认证服务器（auth.example.com）上，当用户登录成功后，需要使用合适的服务器端编程语言（如Node.js、Python + Flask、Java等）来设置Cookie，以Node.js为例，使用express - session中间件可以方便地设置Cookie：
```javascript
const express = require('express');
const session = require('express - session');
const app = express();
app.use(session({
图片来源于网络，如有侵权联系删除
secret: 'mysecret',
resave: false,
saveUninitialized: true,
cookie: {
domain: '.example.com', // 设置域以便跨域共享
secure: false, // 根据实际情况设置是否为https
httpOnly: true // 防止JavaScript访问Cookie
}
}));
app.post('/login', (req, res) => {
const {username, password} = req.body;
if (authenticateUser(username, password)) {
req.session.user = username;
res.redirect('https://app1.example.com');
} else {
res.status(401).send('Login failed');
}
});
```
2、应用服务器验证Cookie
- 在各个应用服务器（如app1.example.com、app2.example.com等）上，需要验证从浏览器发送过来的Cookie以确定用户的登录状态，同样以Node.js为例：
```javascript
const express = require('express');
const app = express();
app.use(session({
secret: 'mysecret',
resave: false,
图片来源于网络，如有侵权联系删除
saveUninitialized: true,
cookie: {
domain: '.example.com',
secure: false,
httpOnly: true
}
}));
app.get('/protected - resource', (req, res) => {
if (req.session.user) {
res.send('You are logged in as'+ req.session.user);
} else {
res.status(401).send('Please log in');
}
});
```
安全考量
1、Cookie的安全性
- Cookie中的信息可能包含敏感的用户身份标识或会话信息，因此必须采取措施确保其安全性，如设置httpOnly属性可以防止JavaScript脚本访问Cookie，从而避免跨站脚本攻击（XSS）利用Cookie窃取用户信息。
- 对于secure属性，如果应用是通过https协议运行的，应该设置secure为true，这样Cookie只会在加密的连接下传输，防止在网络传输过程中被窃取。
2、跨域风险
- 虽然跨域设置Cookie实现单点登录提供了便利，但也增加了跨域攻击的风险，恶意网站可能试图伪造跨域请求来获取合法用户的Cookie，在设置CORS策略时，要严格限制允许跨域的源，只允许信任的域进行跨域交互。
- 要对用户的登录状态进行定期验证，防止因为Cookie被盗用而导致的非法登录情况，可以在服务器端设置会话的过期时间，并在每次请求时检查会话的有效性。
3、单点登录系统的整体安全架构
- 除了Cookie的安全设置和跨域安全措施外，单点登录系统的整体安全架构还应包括对认证服务器的安全防护，如防止暴力破解密码攻击、对用户密码进行安全存储（如使用哈希算法加盐存储）等。
- 对于各个应用服务器，也需要进行安全加固，如防止SQL注入攻击、防范文件上传漏洞等，以确保整个单点登录系统的安全性。
跨域设置Cookie实现单点登录是一个涉及前端和后端多个方面的复杂技术，需要充分考虑安全因素，以构建一个可靠、安全、用户体验良好的单点登录系统。
评论列表