跨子域的表单身份验证

Question

当身份验证在子域而不是父域进行时，是否可以跨子域对用户进行身份验证？

例如：

用户登录site1.parent.com，然后我们需要将它们发送到reporting.parent.com。

即使登录是在子域中进行的，我是否可以向报告站点验证它们的身份？

到目前为止，我所做的所有研究都是用户首先登录父域，然后每个子域都可以访问身份验证 cookie。

Answer 1

当您对用户进行身份验证时，将身份验证cookie的域设置为二级域，即parent.com。 每个子域都会根据请求接收父域的 cookie，因此可以对每个子域进行身份验证，因为您将有一个共享的身份验证 cookie 可供使用。

验证码：

System.Web.HttpCookie authcookie = System.Web.Security.FormsAuthentication.GetAuthCookie(UserName, False);
authcookie.Domain = "parent.com";
HttpResponse.AppendCookie(authcookie);
HttpResponse.Redirect(System.Web.Security.FormsAuthentication.GetRedirectUrl(UserName, 
                                                                       False));

Answer 2

您可以在身份验证时将 cookie 设置为父域，但您必须明确设置它，它将默认为您所在的完整域。

一旦将身份验证 cookie 正确设置到父域，那么所有子域都应该能够读取它。

Answer 3

作为旁注，我发现在使用 jro 的方法（效果很好+1）之后，当从 www/ 以外的子域调用时，FormsAuthenication.SignOut() 方法不起作用。 （我猜测是因为 .Domain 属性不匹配） - 为了解决这个问题，我使用了：

if (Request.Cookies[FormsAuthentication.FormsCookieName] != null)
            {
                HttpCookie myCookie = new HttpCookie(FormsAuthentication.FormsCookieName);
                myCookie.Domain = "parent.com";
                myCookie.Expires = DateTime.Now.AddDays(-1d);
                Response.Cookies.Add(myCookie);
            }

Answer 4

除了为父域设置cookie之外，还需要确保所有站点（应用程序）具有相同的validationKey和decryptionKey（），以便它们都能识别彼此的身份验证票证和cookie。 这里的文章非常好 http://www.codeproject.com/KB/aspnet/SingleSignon.aspx

Answer 5

Jro的回答很好。 但请确保更新 webconfig 表单身份验证设置“domain”
，否则表单身份验证注销将无法正常工作。 这里是我遇到的注销问题穿过。 这里的技巧是有一个“.”。 作为 cookie 域的前缀，设置为“.parent.com”（使用 cookie 检查器）。

<authentication mode="Forms">          
      <forms cookieless="UseCookies" defaultUrl="~/Default" loginUrl="~/user/signin" domain=".parent.com"  name="FormAuthentication" path="/"/>
    </authentication>

Answer 6

是的，当然。 您可能需要在某些阶段自行推出，但这应该是可行的。

一个想法：当您将它们重定向到边界时，给它们一个一次性传递令牌，然后告诉接收子域期待它们（此用户，来自此 IP，带有此令牌）。

Answer 7

需要做的 2 件事：

1. 所有 web.config（主域和子域）中的 MachineKey 应该相同
2. AuthenticationCookie 域名应该相同。

请遵循以下文章更深入。