Inicio de sesión de subdominio múltiple para contenido, Spring Spring para main

Creo que OAuth es tu mejor apuesta; específicamente OAuth2. Puede que sea un poco excesivo, pero hace lo que quieres.

OAuth

  

OAuth proporciona a las aplicaciones cliente un 'acceso delegado seguro' para   recursos del servidor en nombre de un propietario de recursos.

¿Qué significa esto? Tiene una aplicación cliente, contentsite.com, a la que le gustaría dar acceso seguro a través de mainsite.com. El registro de usuarios ya debería estar implementado. Contentsite.com se redirigirá a mainsite.com para iniciar sesión y proporcionará un token de acceso mainsite.com a contentsite.com. Si el usuario cierra la sesión, el token se vuelve inválido, y si se usa, debería redirigirse nuevamente al inicio de sesión.

contentsite.com se registraría en mainsite.com como aplicación y recibiría un valor secreto, así como un ID de cliente. El ID de cliente se utiliza cuando se solicita un token. Los tokens de acceso se utilizan para cualquier otro acceso a recursos una vez otorgado. Descripción general de alto nivel de OAuth2 .

Para lograr todo esto, necesitaría implementar un proveedor OAuth en su sitio principal. Aquí hay un paso a paso con algún código de servidor escrito en Python usando Flask. La implementación del lado del cliente es bastante simple. Dada la identificación del cliente y el secreto, usted realiza una solicitud a su proveedor de OAuth para obtener un token. Aquí hay un enlace a una bonita y pequeña biblioteca de Python , puede Declarar las redirecciones allí mismo del lado del cliente. Simplemente reemplazaría los enlaces específicos de Google con los enlaces específicos de su sitio.

Como dije, podría ser un poco excesivo, pero hace exactamente lo que quieres. Si desea que los usuarios puedan iniciar sesión con cosas como Facebook o Google+ o lo que sea, entonces la funcionalidad está ahí. Además, el estándar OAuth2 requiere que se use SSL / TLS para sus solicitudes. Siempre un plus.

Spring Security

Spring Security OAuth - Página principal
Spring Security OAuth2 - Guía del desarrollador
Spring Security OAuth - Github

Ejemplos conceptuales para OAuth (no Spring Security)

Cómo implementar el inicio de sesión seguro a través de OAuth - Este enlace se centra en el uso de Facebook, Google+, etc. como base para el registro / inicio de sesión. Si quisieras apoyar eso.

Algunas notas sobre implementando un Servidor Node OAuth2 , de Papers.

Este es un buen recurso para bibliotecas OAuth para diferentes idiomas, servidor y cliente.

OAuth2 RFC : si te gusta leer RFC

Si tiene una configuración HTTPS para sus páginas de inicio de sesión, no hay una razón válida por la que no pueda mantenerla en todo el sitio web. Si un usuario visita una página sin cifrar con un identificador / token de sesión específico, ¿qué impide que un adversario falsificado robe ese token y luego visite el sitio web?

Y no se trata solo de que se observe el token, sino también del hecho de que no puede decir cuál de las dos solicitudes HTTP con el mismo token es "legítima", mientras que puede saber que cuando tiene un cifrado existente la conexión asociada con un token de sesión no espera que se inicie otra sesión SSL en otro lugar y el otro extremo de esa sesión envíe un token de sesión existente.