SSL 和跨多个域的身份验证

Question

我正在使用 Ruby on Rails 构建一个应用程序，它允许用户注册并创建自己的子域：

joebloggs.myapp.com

因此，至少我需要一个通配符 SSL 证书来处理用户传递敏感数据（身份验证、付款等）的情况。

此外，我们允许想要将自己的域映射到他们的帐户的用户，例如：

www.joebloggs.com

这突然造成了巨大的头痛。我假设不存在用于此目的的 SSL 产品（即可能在无限的域上使用）？

该应用程序本质上是一个 CMS，因此它有一个面向公众的网站和一个管理后端。面向公众的网站端必须能够映射到用户的域，这一点至关重要。但是，我不太关心管理区域，并且很乐意强制用户通过子域登录并管理他们的网站。

然而，虽然对于网站的大部分内容来说，用户是否登录并不重要，但我确实希望能够知道用户是否登录，以便我可以为登录用户提供略有不同的内容。我假设这会给我带来一个问题，因为 cookie 不能在多个域上使用（或者可以吗？）。我正在使用 Authlogic 进行身份验证。

所以真的，我只是想知道是否有人遇到过这样的情况？如果是这样，您采取了什么方法来解决这里的几个问题？

Answer 1

这可能无法解决您的问题。但你的问题已经过去 6 个小时了，没有得到答复，所以我想我应该提出一些替代想法。也许它会激发其他读者的一些创造力。 :)

这些是按照我个人认为的解决方案的简洁程度排序的。

始终拥有子域，即使用户拥有自己的子域

按照您的示例，您可以在 www.joebloggs.com 上专门提供静态页面，并使用链接到 joebloggs.myapp 的登录链接.com。如果用户已经登录，则可以跳过实际的登录步骤，因为此时 cookie 可用。

这将要求所有用户都有一个子域，即使他们指定了自己的域。

提供静态页面，并使用跨站点 AJAX

有一个相对较新的草案标准，称为跨域资源共享，允许跨域的AJAX请求。 Firefox 从 3.5 版开始支持它，并且在 Mozilla 开发者中心。

除了 Firefox 3.5 之外，IE 8 似乎也支持此功能。较新版本的 Chrome 和 Safari 也支持此功能，但我无法确定是从哪个版本开始的。 （Webkit 变更集#41046。）我找不到任何关于 Opera 的明确信息。

另请注意，非 GET 请求具有“飞行前”请求的额外开销。

使用 iframe 提供动态部分

Iframe 可以通过一些 CSS 很好地隐藏，并使其无缝地显示在页面上。您可以使用指向 myapp.com 的 iframe 来提供页面的动态部分。例如，如果动态部分只是带有一些帐户信息和链接的页面标题的一部分，那么这将相当有效。

如果您计划根据用户的权限隐藏内容，则可以将页面的整个内容区域作为 iframe 提供服务。

缺点是某些浏览器可能会抱怨混合的普通内容和安全内容。

经典的隐藏在不可见框架后面的技巧

许多过去托管在 Geocities 等平台上的网站曾经拥有那些免费的 .tk 域名，这些域名将网站“隐藏”在漂亮的 URL 后面在地址栏中。诀窍在于 .tk 域提供一个带有不可见框架的框架集，以及覆盖所有窗口的另一个框架，该框架将为 Geocities 站点提供服务。

当然，这丑陋，但我不得不提一下。这意味着地址栏不会随着您网站上的链接导航而更新，并且将始终显示根 URL。它还忽略了拥有单独域的许多可能的优势。它甚至可能具有与之前的 iframe 技巧相同的缺点。