安全灵活的跨域会话

我有一个问题希望你能帮忙解决。假设我在一家名为“Blammo”的假设公司工作，我们有一个名为“Log”的假设产品。我正在尝试建立一个系统，人们可以登录 logfromblammo.com 并订购我们的一些产品，然后当他们准备好购买时，前往 checkout.blammo.com 支付订单费用。最终，我希望允许 Blammo 通过自己的网站推出一个新的假设产品：rockfromblammo.com，并且让该网站也能够与 checkout.blammo.com 共享会话，以便用户可以在这两种产品中拥有一个购物车网站。

当然，上述假设场景并不是我公司的实际运作方式，但它是我需要做的事情的一个很好的例子。我们有一个现有的用户数据库，并且我们有方法对任何网站上的任何用户进行身份验证，但我的目标是允许用户从一个网站无缝地跨越到另一个网站，而无需重新进行身份验证。这也将使我们能够将购物车等数据无缝传输到结帐站点。

我（简要地）研究了 OpenID 等解决方案，但我需要能够将我们拥有的任何解决方案与我们现有的身份验证方法集成，这不是非常强大。有没有什么好的方法可以单独通过 PHP 来做到这一点？

您可以做的是在站点之间创建“交叉”链接以继续会话。

最简单的方法是通过查询字符串传递会话 ID；例如

http://whateverblammo.com/?sessid=XXYYZZ

在您开始认为任何人都可以捕获该信息之前，请考虑一下您的 cookie 是如何传输的；假设您没有使用 SSL，那么对于窃听网络的人来说没有太大区别。

这并不意味着它是安全的；其一，用户可能会意外地复制/粘贴地址栏，从而泄露他们的会话。为了限制这种暴露，您可以在收到会话 ID 后立即重定向到没有会话 ID 的页面。

请注意，使用mcrypt()在会话 id 上没有多大帮助，因为问题不是值的可见性；会话劫持不关心底层值，只关心 url 的可重复性。

你必须确保该id只能使用一次；这可以通过创建一个跟踪使用计数的会话变量来完成：

$_SESSION['extids'] = array();

$ext = md5(uniqid(mt_rand(), true)); // just a semi random diddy
$_SESSION['extids'][$ext] = 1;

$link = 'http://othersite/?' . http_build_query('sessid' => session_id() . '-' . $ext);

收到时：

list($sid, $ext) = explode('-', $_GET['sessid']);
session_id($sid);
session_start();
if (isset($_SESSION['extids'][$ext])) {
    // okay, make sure it can't be used again
    unset($_SESSION['extids'][$ext]);
}

你需要这些链接每次跨越了边界，因为自上次以来会话可能已重新生成。