为不在同一网络上的多个网站创建登录API

Question

我已经构建了两个单独的游戏，我希望它们共享相同的登录系统。因此，如果您有一个帐户用于两个游戏。

但是当他们第一次注册并登录时，我不想将它们重定向到集中式系统，因为我希望注册/登录过程尽可能简单，因为我担心它们会失去兴趣。

所以我考虑让他们正常登录网站，然后使用cURL通过构建API将请求发送到集中网站。

但我想知道这是否是一个好方法，因为没有一个网站在同一个网络上。我想我必须以这样的方式构建集中登录系统，它只接受来自游戏所在域的请求。但还有其他我需要担心的事情吗？我应该如何发送密码？因为发送纯文本似乎是一个可怕的想法，所以我想我将不得不在游戏的一边哈希。我想我必须制作一份用户表格的小副本，例如username和user_id。

我不想使用例如OpenID或Facebook Connect或其他东西，因为这意味着重定向到外部系统（这对用户体验不利），并且网站上玩家的平均年龄大约是十四，所以他们对OpenID没有任何线索，我不想强​​迫他们将他们的Facebook帐户连接到我的网站。

如果我不清楚或写不好的英语，我很抱歉，我不是本地人，很难用正确的方式表达自己。

提前致谢！

Answer 1

API是一种很好的方法。但是，如果您实现此类API，则应牢记以下事项：

1. 为API使用强大的Auth-Keys。您可以通过服务器IP过滤请求，但这可以工作，但我不推荐它，因为您可以发送被操纵的数据包（IP-Spoofing）。
2. 您可以在游戏服务器上散列密码，但如果从客户端到服务器的连接未加密，则密码已经通过互联网发送，攻击者可以从客户端的未加密连接开始，如果他想要的话他或她的密码。因此，请确保为每个与关键用户数据的连接使用SSL。

Answer 2

您有两种选择 选项1：将应用程序与CAS集成。 CAS是一种基于协议的简单身份验证体系结构，专为单点登录方案而设计。这肯定会节省您的大量时间，并进行简单的开发修改。

选项2：在其中一台服务器上拥有独立用户表，并针对此表发出身份验证请求。问题是在游戏过程中保持个性，你可以通过会话和cookie来做到这一点。