Прозрачный логин через URL-адрес

Question

Я собираюсь изменить два разных веб-порта, например «Foo» и «Bar».

Они оба работают под Https, первый в https://example.com/foo и последний на https://another.com/bar.

Моя цель - поместить ссылку на Foo, чтобы я мог автоматически регистрироваться в баре.

Что-то вроде этого:

<a href="https://another.com/bar/auth?token=das456s5a4sda2121asae">Click</a>

Приложения размещаются на разных серверах, но они оба имеют доступ к одной и той же базе данных.

Учитывая приведенный выше сценарий, что следует учитывать перед аутентификацией пользователей с использованием параметров URL?

В качестве примера мне нужно будет создать токен. Должен ли я просто зашифровать дату + пользователя? Любые другие советы по генерации маркеров auth?

I может включить CORS, но я оставил бы это в качестве крайней меры.

Не уверен, если это уместно, но Bar использует Spring-Security

Answer 1

Для того, чтобы иметь надлежащую безопасность вам необходимо использовать некоторые дополнительные услуги, как CAS (Central Authentication Service, https://en.wikipedia.org/wiki/Central_Authentication_Service) для вас SSO (Единая точка входа).

E.g. вы можете использовать http://www.jasig.org/cas.

Если вы продолжите предварительно AUTH связи с маркерами,

• кто имеет ссылку, может войти в свой сайт
• вы должны продублировать реализацию механизма для каждого вашего сайта