Question

我有一个主域：main.com，子域名：test1.main.com，test2.main.com和其他域one.com，two.com。

现在这样做了：

ini_set("session.cookie_domain", ".main.com");

$domain = 'main.com';

的login.php

$user = $db->query("SELECT id, login FROM users WHERE email=? AND password=?", 
array($email, $password), "rowassoc");

if($user)
{
  $_SESSION['user_id'] = $user['id'];
  $_SESSION['user_name'] = $user['login'];

  $time = 100000; 

  setcookie('email', $email, time() + $time, "/", "." . $domain);
  setcookie('password', $password, time() + $time, "/", "." . $domain);

  header('Location: http://' . $user['login'] . "." . $domain);
  exit;
}

在每页上添加：

if(!isset($_SESSION['user_id']))
{
  if(isset($_COOKIE['email']) && isset($_COOKIE['password']))
  {
    $email = $_COOKIE['email'];
    $password = $_COOKIE['password'];

    $user = $db->query("SELECT id, login FROM users WHERE email=? AND password=?",
    array($email, $password), "rowassoc");

    if($user)
    {
      $_SESSION['user_id'] = $user['id'];
      $_SESSION['user_name'] = $user['login'];
    }
  }
}
else
{
  $user = $db->query("SELECT id, login FROM users WHERE id=?", 
  array($_SESSION['user_id']), "rowassoc");


  if(!$user)
  {
    setcookie('email', '', time() , "/", "." . $domain);
    setcookie('password', '', time() , "/", "." . $domain);
    unset($_SESSION['user_id']);

    session_destroy();
    setcookie("PHPSESSID","",time(), "/", "." . $domain);
  }
  else
  {
    $_SESSION['user_id'] = $user['id'];
    $_SESSION['user_name'] = $user['login'];
  }
}

logout.php

if(isset($_SESSION['user_id']))
{
  setcookie('email', '', time() , "/", "." . $domain);
  setcookie('password', '', time() , "/", "." . $domain);
  unset($_SESSION['user_id']);
  unset($_SESSION['user_name']);

  session_destroy();
  setcookie("PHPSESSID","",time(), "/", "." . $domain);

  header('Location: /main');
  exit;
}

但它仅适用于域main.com及其子域test1.main.com，test2.main.com。

我需要以某种方式保存会话以及其他域one.com，two.com。

如何最好地进行安全认证，如果有解决方案，我真的很困惑，请举例说明。

Answer 1

据我所知，跨域之间的跨越会话很好，但它不会延续到一个全新的域。要做到这一点，您需要某种集中式数据方法或API。

数据库方法：您必须创建远程MySQL数据访问权限，以便domain2.com可以访问domain1.com上的数据库。执行登录时，不仅应创建新会话，还应将唯一的登录令牌（具有到期时间）放入mysql数据库。现在，对于从domain1.com到domain2.com的每个链接，您应该添加一个包含随机生成的会话ID的$ _GET变量（md5哈希会这样做）。 domain2.com，在收到访问者后，将获取$ _GET变量，通过MySQL数据库运行它以查找登录令牌，如果匹配，请考虑该用户登录（并且可能嵌入$ _COOKIE作为以及存储登录数据）。这将使登录在两个完全不同的域之间转移。

API方法：您需要创建一个API方法，以便domain1.com可以响应来自授权域的外部请求，以便在转发用户时检索登录令牌。此方法还要求从domain1.com到domain2.com的所有链接都附加$ _GET变量以传递唯一会话哈希。然后，在收到访问者后，domain2.com将对domain1.com/userapi.php（或任何您调用该文件）执行curl（）请求，并且应根据数据库中的内容对变量进行测试。

这是我能解释的最好的..在代码中写出来是一项重要的工作，所以我不能提交。但是根据你的代码判断，你对PHP非常了解，所以我相信你会把它拉下来！

祝你好运。

Answer 2

但是如果用户直接访问域one.com，而one.com不知道用户是否通过上面提到的正确答案登录，似乎必须使用一些额外的js，这是jsonP！我们让 account.main.com/userLoginStat.php?callback=loginThisDomain 来检查用户是否登录了main.com，如果是这样，js回调函数 loginThisDomain 做一些事情将用户自动登录到one.com。

Answer 3

要使您的会话跨多个域，您需要使用session_set_cookie_params()。有了它，您可以指定您的域名。例如......

session_set_cookie_params(10000, "/", ".main.com");

这将为站点根目录下的所有文档以及main.com的所有子域设置会话超时10,000秒。

在执行session_set_cookie_params()之前，您应该致电session_start()。

具有多个域和子域的PHP身份验证

3 个答案: