javascript - 自动登录用户到外部网站？

Question

我想安全地将用户的凭据保存到相关网站，并在他们登录我们的网站时自动将其登录到这些网站。我知道这会带来一些安全隐患，因此我希望得到其他人的反馈，并看看其他人过去取得了哪些成功。

您使用什么技术来自动登录用户？我不想复制 HTML 表单并通过 JavaScript 提交。如果表单发生变化，这似乎很容易出错。我尝试将登录表单放入 iframe 中，但似乎该网站的所有者能够阻止此操作(请参阅随附的屏幕截图)。你知道他们是怎么做到的吗？

其次，您保存凭据以使其“安全”的方法是什么。

...彼得

Answer 1

我建议使用 cookie 将 session 证书保存到用户计算机上。这种 cookie 的一个很好的值(value)是:

用户 ID、时间戳、哈希(用户 ID . 时间戳 . global_secret)

global_secret 的值需要非常长(40 个字符左右)，以避免人们破解哈希值，因为这样做将允许他们使用其他人的用户 ID 创建自己的凭据!

“其他站点”将检查此 Cookie，使用用户 ID、时间戳 和 global_secret 的明文值计算哈希值(所有站点都知道)，根据提供的哈希值进行检查，如果匹配，则这是一个有效的证书。

然后，您需要检查时间戳并确定这是否是一个足够"new"的证书以允许访问。

这是标准方法。