3

Есть сайт service.com, выступающий в качестве точки авторизации для mydomain.com (оба работают на одном движке, работающем по принципу единой точки входа).

Прошу совета у опытных разработчиков, насколько корректен следующий подход к проверке авторизации пользователя:

  1. При первичном заходе на сайт mydomain.com происходит проверка куки с флагом авторизации на сайте mydomain.com. Если куки нет, идет перенаправление на service.com, где проверяется, устанавливалась ли кука авторизации для данного пользователя на service.com.

  2. Если кука устанавливалась, осуществляется редирект header('Location: http://' . mydomain.com?token="12345"), где token - случайный код, по которому запрашивается sessionId для этого пользователя из БД.

  3. Если мы имеем передаваемый Get-запросом токен, то после редиректа на mydomain.com запрашиваем sessionId из БД, запускаем сессию session_start(sessionId), а затем делаем еще одну перезагрузку уже без токена header('Location: http://' . mydomain.com) . Причина - безопасность, необходимо убрать из адресной строки токен.

  4. Если кука не устанавливалась, мы имеем гостевой вход обычного посетителя сайта, для которого token, связывающий его с sessionId из БД, передавать не нужно. В таком случае нужно установить гостевую куку, чтобы больше его не отправлять в точку авторизации на проверку. Мы посетителя отправляем обратно на сайт, например, таким образом header('Location: http://' . mydomain.com?status="visitor").

При такой реализации single sign-on каждого посетителя сайта будут один раз отправлять в точку авторизации. Насколько это разумное решение, на ваш взгляд?

UPD.

Сайтов/доменных имен, привязанных к service.com может быть множество, например, otherdomain.com. Цель сквозной авторизации - необходимость предоставить пользователю, авторизованному в точке авторизации service.com и являющемуся владельцем сайта mydomain.com персональные элементы управления (например, ссылка на свой сайт вида "Мой сайт") в тот момент, когда он будет находиться на чужом для него сайте otherdomain.com. Как, например, в ЖЖ владельцы блогов имеют ссылку на свой блог, находясь на любом блоге.

Все сайты физически расположены на одном сервере.

3
  • Вы это все делаете для одного сайта?
    – Visman
    Commented 13 июн. 2017 в 1:28
  • сайтов, работающих в рамках сервиса, может быть множество (если я верно понял вопрос)
    – 118_64
    Commented 13 июн. 2017 в 7:39
  • Просто я думал один сайт, тогда смысла бы не было.
    – Visman
    Commented 13 июн. 2017 в 7:49

1 ответ 1

1

session_id(sessionId) - уже неправильно. Не делайте так. Вот почему:

  1. По умолчанию файлы сессий хранятся на диске на одном сервере. С другого сервера вы увидите пустоту, а не сессию. (Что за нагруженная система на одном сервере?)
  2. Файлы сессий вообще-то удаляются.
  3. Файлы сессий могут принадлежать другим пользователям, а значит PHP не сможет их прочитать. Отладка при этом выводится ровным счётом никакая. Вы будете думать что сессия началась, а на самом деле - нет.
  4. Наконец, если кто-то "угонит" этот ID сессии через XSS или ещё как, то он сможет всегда, пока существует ваш пользователь, представляться им.

Если первые три пункта ещё можно решить через хранение сессий в БД или ещё какими-то путями, то последний пункт можно обойти только если не делать так, как вы хотите.

Лучше будет начинать сессию как обычно с уникальным ID, записывая внутрь сессии ID пользователя или что вы хотите:

$_SESSION['ID'] = $idFromDatabase;

Дальше. Есть посетители, которых вы не можете отправить для получения сессионной куки. Например, поисковые боты. Следует либо не перекидывать посетителей с публичных страниц на сервер авторизации, либо делать это в фоновом режиме через JS.

8
  • 1. Я изначально подразумевал хранение именно записей уникальных идентификаторов сессий в БД. Запись идентификатора сессии и сама сессия - это разные сущности в вашем ответе? 4. Он может угнать только случайный токен, по которому запрашивается запись сессии из БД (и у которого может быть ограничение по времени действия). Защитой от угона может являться привязка к IP и User Agent пользователя. Я не хочу сказать, что предлагаемый способ хорош (я в этом не очень хорошо разбираюсь, поэтому и задаю вопрос), но я ищу способ сделать сквозную авторизацию и не нахожу. Прошу совета в этом вопросе.
    – 118_64
    Commented 13 июн. 2017 в 8:06
  • "Защитой от угона может являться привязка к IP и User Agent пользователя" - это защита от угона ценой существенных неудобств для всех посетителей. Можно же сделать лучше!
    – sanmai
    Commented 13 июн. 2017 в 8:07
  • Добавил UPD. Главная цель - идентификация пользователя на доменах, на которые он заходит после авторизации на servise.com и которые ему куку еще не предоставили. Поэтому вопрос: как я могу узнать при входе на чужой сайт, что я авторизован в системе? Именно ответ на этот вопрос я не могу найти. Посоветуйте, как можно сделать идентификацию пользователя на доменах, где у него еще нет куки (но при этом у него установлена кука о регистрации в точке авторизации).
    – 118_64
    Commented 13 июн. 2017 в 8:33
  • Вам не надо делать AJAX запрос. Если вы контролируете все сайты, то вы можете включить скрипт, который указывает на ваш сайт авторизации. Этот скрипт может делать что угодно. Посмотрите обновлённый ответ. И прочитайте RFC 2606 наконец!
    – sanmai
    Commented 13 июн. 2017 в 8:36
  • sanmai, спасибо за ответ. Вопрос по скрипту: добавить могу, но не совсем понимаю, что я могу через него запросить? Куку с моими данными ведь он мне не отдаст с домена авторизации service.com ? Беглый поиск по RFC 2606 не дал понятных для меня результатов кроме tools.ietf.org/html/rfc2606. Как я могу это использовать я себя?
    – 118_64
    Commented 13 июн. 2017 в 8:43

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.