session - 具有多个域的 ColdFusion session 管理/用户身份验证

Question

我遇到一个问题，需要对来自驻留在单独服务器、数据库上并使用 JSP 构建的域的用户执行身份验证检查。

以下是该过程的快速概述:

domain1.com(用户访问此页面是为了登录站点以获取所需的内容。使用 J2EE session ID)

domain2.com(用户可以在其中检索使用 ColdFusion 10 构建的数据的内容区域。特定于每个帐户的数据将传递到 URL

例如，

domain2.com/content/content.cfm?customerID=12345

domain2.com/content/content.cfm?customerID=12345&pageid=AB12&type=CID1

问题是任何人都可以访问domain2，而无需通过domain1.com登录，只需输入URL即可。对最初从与我的 ColdFusion 环境完全不同的平台上托管的域进行身份验证的 session 进行身份验证的最佳安全实践是什么？

Answer 1

最佳实践:您必须使用可共享资源在多个环境之间正确进行身份验证，例如可以由它们访问的数据库或 Web 服务。这是唯一安全的方法。

隐秘安全:加密domain1.com上的登录信息(例如客户的身份)，并将加密的 token 传递到domain2.com(重定向时)。确保在加密 token 中使用带有随机内容的填充和过期时间戳，以防止重复使用 token 。 domain2.com 可以轻松解密 token 并从那里处理登录。在这种情况下，可共享资源是用于加密/解密 token 的 key 。 AES 是一个好的开始。