不同网站之间的安全购买
有一个网站 A，它有一个用户池。有一个单独的网站B，销售数字商品。
我想允许A网站的用户在不注册或访问B的情况下从B网站进行购买。
鉴于A网站与B网站达成协议按月支付账单，如何在不打开漏洞的情况下授权购买对于恶意攻击者？
我想到的第一个解决方案是存储主密码来授权单用户购买，这是一场安全噩梦，但我没有更好的办法了。有什么想法吗？
There is website A, with its pool of users. There is a separate website B, which sells digital goods.
I want to allow users of website A to make a purchase from website B, without registering or visiting B.
Given that site A has an agreement with site B to pay the bill on a monthly basis, how can you authorize purchases without opening a vulnerability for malicious attackers?
The first solution which come to my mind, storing a master password to authorize single user purchase, is a security nightmare, but I can't thing anything better. Any ideas?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
您可以使用 SAML (http://en.wikipedia.org/wiki/SAML) 来实现此目的。
站点 A 将具有用户名/密码和其他信息来验证最终用户的身份。经过身份验证后，站点 A 可以将用户发送到站点 B，站点 B 将调用站点 A 公开的服务来确认用户确实是从站点 A 发送的。
例如，
整个通信都通过 SSL 进行，这一点非常重要。这将有助于减轻中间人攻击。
You can use SAML (http://en.wikipedia.org/wiki/SAML) for this purpose.
Site A will have username/password and other information to authenticate end users. After authentication, site A can send users to site B and site B will call a service exposed by site A to confirm that user is indeed sent from site A.
E.g.
It is VERY important that the whole communication happens over SSL. This will help mitigating Man-in-the-middle attacks.