js跨域单点登录不安全，怎么解决

0 0

js跨域单点登录不安全，怎么解决0

我现在是这样做的
统一认证中心部署在：10.4.18.2服务器上面
登录页面地址为
http://10.4.18.2/ssoLogin/login.jsp

现在有2个系统
文档展示系统
企业内部网盘系统

这两个系统，都需要登录，
登录的时候，都重定向到 http://10.4.18.2:8083/ssoLogin/login.jsp 页面登录

这两个系统，在首页都有如下代码

function tryLogin()
{
$.getScript("http://10.4.18.2:8083/ssoLogin/Api/Auth?method=getLogin", function() {
var res = loginData[0];
if(res != '')
{
if(typeof(res) != "undefined")
{
if(res['is_login'] == 'true')
{
window.location.href = '${ pageContext.request.contextPath}/auto/autoLogin?username='+res['login_username'];
}
}
}
});
}

var user = '${ sessionScope.loginuser.username}';

if(user == '')
{
tryLogin();
}

代码的大致意思是：

如果判断没有登录，则用js跨域到统一认证中心去判：用户是否登录，如果登录，认证中心则传回登录的用户名
然后执行
window.location.href = '${ pageContext.request.contextPath}/auto/autoLogin?user='+res['login_username'];
子系统自动登录，登录的用户名是认证中心则传回登录的用户名

现在的问题是，子系统自动登录这一步不安全，如果有人知道这个入口，直接在浏览器上面敲这个地址，那岂不是跳过了自动登录

请问，这一步如何优化

有什么其他的方法处理

单点登录 js跨域

2014年3月04日 17:24

string2020
0
1 1 11

2个答案按时间排序按投票排序

0 0

这是典型的被攻击的代码的范例。
1、使用传回用户名的方式，就是一个伪登录，如你所说，我直接不登陆，然后拼接一个URL，就可以完成了认证过程；
2、从安全的角度来说，步骤保证如下：
（1）若无用户的SESSION，跳至登陆服务器；
（2）在认证服务器上完成认证；
（3）返回一个经过加密的串（动态生成，不能每次一样）；
（4）解析加密串，提取用户名；
（5）对于应用服务器和认证服务器中，要做签名；
（6）加入检验机制，基于时间是必要的；
总的来说，可以参照于银行的支付操作的认证交互过程。

2014年3月11日 18:47