asp.net - 跨两个命名域共享 session cookie

Question

我有一个具有以下域的 .net Web 应用程序:www.domain.com子域名.com文件.domain.com

当用户登录到domain.com或sub.domain.com时，我希望他们共享 session 状态(即同时登录到两个域)。这可以通过将 session cookie 上的域设置为“.domain.com”来实现。但是，我的问题是，由于安全问题，域“files.domain.com”不应该具有 session 状态(来自该域上托管的用户创建文件的 xss 攻击是一个问题)。 p>

在 ASP.NET 中是否可以对这两个域使用相同的 asp.net session ID，但不能对第三个域使用相同的 ASP.NET session ID？

提前致谢!

Answer 1

以下是我想到的几个选项:

#1 - 通过客户端脚本将登录请求发布到两个应用程序。这将使您能够同时为两个有效域设置 cookie。这使您能够通过为您希望对用户进行身份验证的特定域创建 cookie 来避免您担心的 XSS 问题。

#2 - 将您的“不安全”站点移至其他域。例如:www.domain-files.com。通过该选项，您可以使用共享 cookie 来管理身份验证。