福州市网站建设_网站建设公司_定制开发_seo优化

遇到一个问题，在同一主域下的多个子域之间共享登录状态的需求。例如：

main.example.com 主站

learn.example.com 学习中心

希望在任意子域登录后，其他子域也能自动识别登录状态，包括登出同步。

Cookie 跨子域共享

浏览器安全策略允许 Cookie 在同一主域下共享，只需设置父域（.example.com 指的是包括 example.com 及子域名下都可以共用 cookie，单一指定直接放上域名即可）：

请求来源 Cookie 域 是否生效

main.example.com .example.com ✅

learn.example.com .example.com ✅

示例：

Set-Cookie: sid=xxxxx; Domain=.example.com; Path=/; Secure; HttpOnly; SameSite=None

后端通过 Set-Cookie 响应头设置 Cookie，使其在所有子域生效。

自定义方案：集中式 Session（共享 sid 模型）

方案核心

所有系统在后端共用一个 Session 中心（存储登录 sid 与用户信息映射）。

用户在任一子域（如 main.example.com）登录后，后端生成唯一 sid 并通过 Set-Cookie 写入 .example.com 域。

其他子域（如 learn.example.com）访问时，会自动携带同一 Cookie 中的 sid。

各子域后端通过 Session 服务验证 sid 是否有效。

若 sid 存在且有效，则返回用户信息或签发 token。

退出登录时删除 sid，实现所有子域同步登出。

登录与验证流程

1. 用户登录（main.example.com）

// 前端仅调用登录接口

await fetch('https://api.main.example.com/login', {

method: 'POST',

body: JSON.stringify({ username, password }),

credentials: 'include'

});

后端示例（Node.js）：

app.post('/login', (req, res) => {

const { username, password } = req.body;

const user = authenticate(username, password);

if (user) {

const sid = generateSid();

sessionStore.set(sid, user);

res.cookie('sid', sid, {

domain: '.example.com',

httpOnly: true,

secure: true,

sameSite: 'none',

path: '/',

});

res.json({ success: true });

} else {

res.status(401).json({ success: false });

}

});

2. 子域验证登录状态（learn.example.com）

请求示例：

await fetch('https://session.example.com/api/validate', {

credentials: 'include'

});

后端验证：

app.get('/api/validate', (req, res) => {

const sid = req.cookies.sid;

const session = sessionStore.get(sid);

if (session) {

res.json({ valid: true, user: session.user });

} else {

res.json({ valid: false });

}

});

3. 登出同步

所有子域使用同一域的 Cookie：

app.post('/logout', (req, res) => {

const sid = req.cookies.sid;

sessionStore.delete(sid);

res.clearCookie('sid', { domain: '.example.com', path: '/' });

res.json({ success: true });

});

与标准 SSO 的区别对比

特性 自定义集中 Session 模型 标准化 SSO（OAuth2 / OIDC）

登录管理中心 ✅ 有 Session 中心 ✅ 独立 IdP（认证中心）

登录凭证形式 sid（后端 Session） Access Token / ID Token（标准）

协议 ❌ 自定义 ✅ OAuth2 / OpenID Connect / SAML

安全性 ⚠️ 依赖服务端实现 ✅ 采用业界安全标准

跨域处理 通过共享 Cookie 统一跳转 + 授权码机制

登出同步 Cookie 统一清除 IdP 通知各客户端登出

扩展性 内部系统适用 可对外开放第三方登录

方案优缺点

优点

后端集中控制登录状态，安全性高。

实现简单，适合同一主域下多子系统。

通过 Set-Cookie 跨子域自动共享，无需前端参与。

缺点

无标准协议，不适合开放平台。

若 Session 存储异常，影响所有子系统。

无法跨不同主域（如 .example.com 与 .example.org）。

演进方向

若未来需要：

对接外部系统或移动端；

支持 OAuth2 授权流程；

集成权限管理；

应演进为 标准化 SSO 架构：

[main.example.com] --> [auth.example.com] <-- [learn.example.com]

│

└--> Issue JWT / Refresh Token

总结

场景 推荐方案

同一主域下多子域共享登录 ✅ 集中 Session 模型

不同主域间登录共享 ✅ 标准 SSO（OAuth2/OIDC）

内部系统快速集成 ✅ 自建 Session 验证机制

长期扩展性 ⚙️ 升级为标准认证中心

总结：这个方案是参考 SSO 实现（轻量化内部集中式 Session 模型），主要是在同一主域多子域场景下，也可以使用 nginx 代理指向不同文件夹，有兴趣可以自行了解。后面会出一个 sso 方案，为 OAuth2 / OpenID Connect 架构。有问题大家提出讨论会进行更正！