security - 在网站之间安全地转移用户

Question

这是场景:

您有两个独立的网站，它们存在于不同的环境中(即不同的数据库、不同的 Web 服务器/域)

您可以完全控制两个站点的代码，但从上述观点来看，它们无法直接与彼此的数据库通信

您必须安全地将用户从站点 A 转移到站点 B

实现这一点的最佳方法是什么？简单地通过查询字符串在站点之间发送用户标识符是不安全的，即使加密也是如此，因为其他人可以获得 URL。似乎标准的解决方案是将用户标识符与网站 A 创建的另一个临时 key 一起传递，网站 B 知道。如果是这种情况，使用临时 key 安全设置系统的正确方法是什么？

谢谢!

Answer 1

我正在做这样的事情。我现在能想到的最好的事情是传递用户 ID 的哈希值，或者如果这让您担心，还可以传递一些其他用户数据的哈希值。

如果你想要临时 key (我也可能会这样做)，如何在 A 上设置一个 Web 服务，B 可以调用它以根据临时 key 获取用户 ID。这样，它是一个完全独立的调用，并且可以得到保护。