automática de cookies de sesión único en varios dominios - como Google

Question

No entiendo cómo Google alcanzar el siguiente mecanismo de inicio de sesión único:

1. inicio sesión en Gmail, por ejemplo, (supongo que esto crea una cookie de withmy autorización)
2. abro una nueva pestaña y tipo directo la url de "youtube"
3. Entonces entro en youtube en el sistema.

¿Cómo se puede detectar este segundo sitio que ya he estado en un curso. Son dominios diferentes. Youtube no puede leer la cookie de Gmail.

Todas las soluciones que he leído sobre el inicio de sesión único no permiten esto. El cliente siempre solicita permiso para una aplicación de inicio de sesión central. En mi ejemplo, YouTube no sabe que soy el mismo usuario que inició sesión en Gmail (en realidad sí lo sé, pero no entiendo cómo)

Tenga en cuenta que escribo la url de "youtube" a mano. No hago clic en el ícono de youtube de la barra de herramientas superior de gmail (en ese caso, gmail puede pasar algunos parámetros de autenticación a través de la url, por ejemplo).

Answer 1

Por lo que recuerdo, si no me equivoco, las cookies contienen un campo específico que contiene el dominio que puede leer y obtener dicha cookie. Esto se hace para evitar que ciertos sitios web lean toda su lista de cookies y hagan su propio negocio. Debería poder ver qué tipo de sitios pueden 'ver' su cookie de Gmail.

corrígeme si estoy equivocado, esto debe compilar la respuesta dada en relación con el SID y el ejemplo Gmail, YouTube ..

Answer 2

las galletas se establecen en los dominios spesific ejemplo:

setcookie(name,value,expire,path,domain) 

whene estás conectó por Gmail, antes mail.google.com, que haya sido redirigido a accounts.google.com luego a mail.google.com por lo que las galletas están en 'accounts.google.com' demasiado

in this case the domain is : accounts.google.com 
the path is : "/" 'this is the home path 

cuando solicite www.youtube.com luego haga clic en 'conexión' solicita accounts.google.com rápido, por lo que no puede ver esta redirección y comprueba si tiene cookies en accounts.google.com si es así, comprueba si las cookies son válidas y no expiradas o no prohibidas por el usuario o ... entonces se le redirige a www.youtube.com/signin?loginthisSession=Sessionid 'esta solicitud countains el valor de la galleta de sessionid atrapado de las galletas de accounts.google.com

último paso' www.youtube.com' los registros de usted y establecer su propia cookie en el dominio 'www.youtube.com 'y guardarlos

por lo que el truco está en el 302 http Redirect

Answer 3

Mira esto ... http://www.codeproject.com/Articles/106439/Single-Sign-On-SSO-for-cross-domain-ASP-NET-applic. El artículo consiste en una explicación y muestra del dominio cruzado de SSO.

Answer 4

Las cookies y el almacenamiento local se pueden compartir entre dominios usando un dominio intermedio. En la página de inicio está incrustado un "iframe", que accede a las cookies y envía mensajes a la principal.

mail.google.com y youtube.com pueden compartir las cookies usando accounts.google.es. Abra Chrome->Inspect->Resources->Local storag e y verá en accounts.google.com el token de autenticación en formato JWT.

He detallado los pasos técnicos en esta respuesta: https://stackoverflow.com/a/37565692/6371459. También consulte https://github.com/Aralink/ssojwt para ver una implementación de un inicio de sesión único usando JWT en un dominio central