问一个子站共享 cookie 安全问题？

[vevlins]

假如一家公司有 xx.com ，下面有 a.xx.com 与 b.xx.com

1. 两个站安全等级要求不同,b.xx.com 有些敏感信息
2. 为了统一登录，两个站都读取 xx.com 下的 cookie 作为身份认证
3. 我作为 a.xx.com 的管理，诱导某些具有 b.xx.com 权限的人点击 a.xx.com,并记录下 cookie
4. 通过工具替换为此人 cookie，就可以登录 b.xx.com

这种问题如何解决呢？各自一套认证是可行的，但是成本可能很高，比如子站很多。

[linauror]

认证用一套，比如只做登录检测和常规权限判断，特殊权限各站点再单独判断了

[oott123]

你的模型里面每个子站不能互相信任，而都信任中心服务（登录），那么答案就很明显了——看看 OAuth 是怎么设计的。