zend-framework - Zend Framework - 跨多个(不同)域的单个 session

Question

场景:Web 应用程序托管在多个域(例如 www.example.com、www.example.co.uk、www.example-3.com 等)上。当用户在这些域中的任何一个注册时，数据将存储在集中的主数据库中。当用户登录到任何一个网站时， session 数据将存储在集中的主数据库中。

要求:登录用户将能够浏览任何域(共享相同的 session 数据库)。当他/她浏览任何域时，除了他/她实际登录的域之外， session 应该保持不变，不需要再次登录。我们不想使用任何类似 openid 的东西。

问题:如何根据场景实现这个需求，而不需要任何第三方服务(OpenID、Lasso等)？

Answer 1

我不相信你想要的实际上是可能的。或者确实是安全的，因为正如 Mailslut 所建议的那样，您可能必须在 URL 中传递 session ID - 强烈建议不要这样做，因为您将用于跨域保持状态的相同技术会让您对使用它进行恶意攻击的人敞开大门目的 - 而您将无法区分。

我认为您最好反对此要求并接受它不现实的事实 - 多次登录确实没有那么糟糕，只要您跨站点共享相同的用户数据库即可。如果它能保证用户数据的安全，我认为这是值得的。

你甚至不能用 cookie 做到这一点，因为你只会收到你当前所在域的 cookie - 浏览器无法知道这些网站是否相关。