[PHP] Gedeelde login voor verschillende domeinen

[Anoniem: 45470]

Is het mogelijk om een loginsysteem te maken dat werkt over verschillende domeinen? Dus stel je bent ingelogd op een pagina middels een sessie, en in die pagina staat een i-frame met een pagina die gehost wordt op een ander domein -- kan die i-framepagina dan op de een of andere manier zien dat de user al ingelogd is?

Ik begrijp dat de sessie om veiligheidsredenen niet gedeeld kan worden met het andere domein, maar misschien zijn er nog andere manieren om dit aan te pakken, bijvoorbeeld met cookies?
Of is er geen manier om dit veilig te doen en kan ik er maar beter geen tijd in steken? Voor de duidelijkheid, het gaat om compleet verschillende domeinen, geen subdomeinen.

[Gomez12]

Anoniem: 45470 schreef op zondag 27 augustus 2006 @ 21:23:
Is het mogelijk om een loginsysteem te maken dat werkt over verschillende domeinen? Dus stel je bent ingelogd op een pagina middels een sessie, en in die pagina staat een i-frame met een pagina die gehost wordt op een ander domein -- kan die i-framepagina dan op de een of andere manier zien dat de user al ingelogd is?

Ik begrijp dat de sessie om veiligheidsredenen niet gedeeld kan worden met het andere domein, maar misschien zijn er nog andere manieren om dit aan te pakken, bijvoorbeeld met cookies?
Of is er geen manier om dit veilig te doen en kan ik er maar beter geen tijd in steken? Voor de duidelijkheid, het gaat om compleet verschillende domeinen, geen subdomeinen.

Een mogelijke ( let op halfbakken ) manier om dit te bewerkstelligen is zorgen dat je servers contact hebben. En dan gewoon als iemand iets opvraagt op server 2, dat server 2 dan intern een request aan server 1 doet of iemand met dezelfde browser / ip-adres / andere verificatie mogelijkheden ingelogd is in de afgelopen 2 minuten. Zoja dan wat is dan de gebruikers naam en log de gebruiker ook in op server 2.

Dit is alleen een halfbakken manier, omdat je deels van een ip-adres uitgaat ( proxy-gevaar ) en deels van client-side gestuurde dingen ( browser etc )...

[wica]

P3P Hier mee kan je cross domein cookie's gebruiken.

[Yo-han]

Je hoeft niet eens te zoeken, alleen maar even iets verder op de index van programming te kijken:

topic #1156695
hmm volgende keer ook de laatste regel lezen....

Voor de duidelijkheid, het gaat om compleet verschillende domeinen, geen subdomeinen.

Maar kan je bij het inloggen niet via een XML-RPC of SOAP request een sessie wegschrijven op de andere server? Of je sessies opslaan in ee database en deze met een unieke sleutel meegegeven via je url. Dan blijft het sessionId redelijk afgeschermd.

[ Voor 47% gewijzigd door Yo-han op 28-08-2006 10:48 ]

[crisp]

vziw is P3P niet bedoelt om cross-domain cookies te kunnen zetten. Cross-domain cookies bestaan niet.

[MTWZZ]

Zoek eens op Single Sign-on (SSO).
Dat is denk ik de beste manier voor dit probleem.

[RobIII]

crisp schreef op maandag 28 augustus 2006 @ 10:31:
vziw is P3P niet bedoelt om cross-domain cookies te kunnen zetten. Cross-domain cookies bestaan niet.

vziw is dat correct
Sterker; op de pagina waar wica naar verwijst staat het al:

quote: http://www.w3.org/P3P/

The Platform for Privacy Preferences Project (P3P) enables Websites to express their privacy practices in a standard format that can be retrieved automatically and interpreted easily by user agents.

Met P3P geef je aan de browser in een "uniforme" manier aan wat je privacy beleid is. En inderdaad, cross-domain cookies bestaan niet.

Wat je zou kunnen doen is een centrale database gebruiken die tokens uitdeelt die je vervolgens weer doorgeeft aan het betreffende domain. Maar erg veilig is het niet.

[ Voor 15% gewijzigd door RobIII op 28-08-2006 12:24 ]

[MBV]

Je kan de sessieID of hash van login ofzo toch meegeven via de querystring? Dan heb ik het even niet over veiligheid . XML-RPC naar de 2e server 'hallo, pietje komt eraan met token X' en vervolgens de browser de innerframe laten herladen met token X in de querystring (die maar 1x gebruikt mag worden, op te lossen met een nieuwe cookie) is iets veiliger, maar biedt nog steeds geen garanties.

[mcdronkz]

Hoe doet Microsoft dit met hun passport ? Of Google met hun accounts ? Volgens mij moet ik op elke afdeling opnieuw inloggen, en dan praat ik dus over verschillende domeinen. Daar zal dan wel een goede reden voor zijn.