サブドメインにログインしたセッション

Question

私は現在次の問題に直面しています：

メインドメインは、フレームワーク固有のセッションを持つ特定のPHPフレームワークを実行しています。別のPHPフレームワークを実行する新しいサブドメインがあり、メインドメインのログインセッション情報をサブドメインと共有する必要があります。私。ユーザーはメインドメインに登録するだけですが、ログインするとサブドメインのアカウントにもログインします。また、サブドメインはメインドメインdbにアクセスできないことにも注意してください。

これらの制限により、私は次の解決策を思いつきました。まず、ドメインCookieを.mydomain.comに設定しました。サブドメインのセッションCookieにアクセスできます。次に、メインドメインで簡単なAPI呼び出しを実装します。この呼び出しは、ログインしたステータスと他のセッション情報を返します。 API URLにはサブドメインサーバーに限定されたIPホワイトリストがあり、ユーザーがメインドメインからサブドメインにアクセスすると、ユーザーのCookieサーバーサイド（おそらくcURL）でAPI URLが要求されます。一度、ユーザーがサブドメインでこのように認証された場合、特定のセッションのトークンが割り当てられ、そこでサブドメインの通常のセッションと別のセッションとして管理できます。

私の質問は、この設定でセキュリティ上の欠陥があるかどうかです。または任意の改善またはこれを行うためのより好ましい方法を提案...私にとっては

Answer 1

おかげで、私は、シングルサインオン概念を使用すると思います。ユーザーがドメインまたはサブドメインのいずれかを使用してログインすると、そのユーザーのアクセストークンを生成してサインインします。 その後、同じアクセストークンを使用して、別々のセッションを使用せずに、異なるドメイン名に対してユーザーを確認および認証します。これにより、セッションのハイジャックが発生し、複数のセッションを管理することが難しくなります。セッションが作成されると、アクセスルールとともにアクセストークンを割り当てます。これにより、シームレスなサインインプロセスが可能になり、管理も容易になります。

詳細については、Single Sign-OnまたはOAuth 2.0プロトコルを検索してください。