用户登录之后 , 将认证信息存储至 Cookie ，当再次访问本服务或者访问其他应用服务时，直接从

Cookie 中传递认证信息，进行鉴权处理。

问题

1. 如何保障Cookie内用户认证信息的安全性?

• 第一, Cookie内不能存放用户名和密码等敏感信息, 可以生成一串Token进行替代;
• 第二, 通过加密方式存储Cookie信息，并且采用https加密方式传输，设定Cookie有效期，在 服务端设定Token的有效期，避免攻击者伪造用户身份。

2. 如何解决跨域问题?

• 第一种，采用iframe方式解决跨域问题, 实现Cookie共享，但要注意，父窗口获取子窗口在跨域下可以正常获取，子窗口后去父窗口仍会存在跨域问题，这点在实现的时候要注意。
• 第二种，采用JSONP方式实现跨域传输，这需要在服务端设置允许跨域请求， response.setHeader("Access-Control-Allow-Origin", "*"); 设置允许任何域名跨域访问，服务端返回数据时，再设置callback，才能完成跨域请求。

设计方案架构图

这里以淘宝SSO的架构为例

基于分布式Session的单点登录解决方案

概述

• 如何保障各服务节点都能够统一有效鉴权？
• 某个服务节点宕机，重启后如何恢复登录状态?
• 在Cookie禁用的情况下如何实现SSO?

实现流程

常用技术框架