Добрый день!
Есть лэндинг страница на которой имеется форма ввода логина и пароля, например, domain.com. И имеется SPA приложение на app.domain.com, на которое идет редирект после логина на лэндинге.
Как более секьюрно сделать аутентификацию по API между доменом и поддоменом, чтобы после редиректа, не беспокоиться за токен?
Вариант 1. Залогиниться в domain.com и передать в качестве GET параметра пллученный токен - очень не секьрно, т.к. легко токен светится в строке браузера, да и впринципе везде в запросе.
Вариант 2. Поставить куки token=mytoken в домене и взять их в поддомене. Немного сомневаюсь, что это тоже секьюрно. Т.к. при любой случайной xss токен можно спереть (конечно, тут нужно следить, чтобы xss не было, но все же, вероятность есть).
Подскажите, пожалуйста, более надежный способ.
Спасибо!