Авторизация на одном сайте, работа с другим

[tche]

Авторизация на одном сайте, работа с другим

Имеем несколько зеркальных серверов, которые однако выполняют разные задачи в зависимости от пользователя. Необходимо, чтобы пользователь мог войти в любой из сайтов, там ввести пароль, а потом, в зависимости от UserID, мог быть перекинут на другой, но уже без повторной авторизации.

Иначе говоря, как безопасно открыть сессию на другом сервере? У меня пока только одна идея - передавать пароль и login в закодированном виде (MD5) - просто в виде
header ("Location : http://xxx.ru?login=".md5('vasia')."&".password=".md5('pupkin')) ;
Можно реферер заодно проверять (а кстати, какой он будет?)

Спасибо,
Ч.

 

[neko]

если 1 раз перекинут разницы большой нет
если сам ввод пароля через форму без ssl или basic auth, вообще никакой

как вариант можно передавать сид, а сесии хранить централизованно

 

[tche]

в самой форме login и пароль превращаются в md5 при помощи javascript, и они уже и едут в обработчик формы, в принципе тут конечно разница только в методе Get Post. HTTPS здесь не используется, но смотрится реферер.

 

[MiRacLe]

tche

закодированном виде (MD5)

md5 - не "кодирование" , необратимое! хеширование
реферер проверять конечно можешь,но браузер не обязан его передавать...

если сервера в одном домене (www.example.ru , ccc.example.com , ddd.example.com) то проще всего статус,логин и прочее перетаскивать с куками на .example.com

если домены разные - сделать сервер с сессиями - PEAR::HTTP::SessionServer

и вообще это уже обсуждали

 

[neko]

а все равно у тебя логины с паролем в одном месте храниться должны при такой схеме
тогда проще какие-нибудь билетики выдавать, чем слать такие хеши

 

[tche]

как вариант можно передавать сид, а сесии хранить централизованно

сервера сильно удалены географически, один в штатах, другой в Москве, как их теперь хранить централизованно.

-~{}~ 01.11.04 14:37:

а все равно у тебя логины с паролем в одном месте храниться должны при такой схеме
тогда проще какие-нибудь билетики выдавать, чем слать такие хеши

они заводятся в одном месте, а в другое копируются раз в какое-то время.

md5 - не "кодирование" , необратимое! хеширование

Это понятно, так потом хеш и проверяется

и вообще это уже обсуждали

ага, спасибо, это ценно