Cookie sottodominio ASP.NET (principale e un sottodominio)

Question

Ho un'app con più sottodomini, subone.parent.com, subtwo.parent.com.

Ho una pagina di accesso su parent.com/login. Quando un utente effettua l'accesso, li reindirizzo al dominio corretto in base al quale sono membri. Funziona bene

FormsAuthenticationTicket ticket = new FormsAuth... 
string encTicket = FormsAuthentication.Encrypt(ticket); 
var cookie = new HttpCookie(FormsAuthentication.FormsCookieName, encTicket); 
cookie.Domain = subone.parent.com 
Response.Cookies.Add(cookie) 

Questo autentica correttamente l'utente per subone.parent.com e non subtwo.parent.com. Comunque mi piacerebbe fare quanto segue.

Se l'utente torna a parent.com, vorrei sapere che è stato effettuato l'accesso e reindirizzato a subone.parent.com.

Esiste una best practice per realizzare questo? O devo impostare un altro cookie per parent.com?

Sto lavorando in asp.net mvc se è importante.

Grazie!

Answer 1

È possibile condividere i cookie su domini come si sta tentando di fare, ma non è diretto, esempio here.

Un'altra opzione è quella di impostare il cookie come ".parent.com" piuttosto che specificare il sottodominio in modo esplicito e utilizzare la memorizzazione dei cookie i dettagli del sottodominio. Quindi è possibile accedere ai cookie da qualsiasi sottodominio (e dal genitore assumendo il proprio www.parent.com).

Se si utilizza MVC, è possibile creare facilmente un filtro personalizzato e aggiungerlo ai controller di www.parent.com per verificare l'esistenza del cookie e, in tal caso, reindirizzare al dominio secondario specificato dal cookie. Ulteriori dettagli sui filtri here.

Answer 2

Vorrei impostare il cookie per il dominio esplicito così come è lì perché mantiene tutte le informazioni di sicurezza all'interno del cookie del dominio specifico. È inoltre possibile aggiungere un cookie non crittografato al livello * .parent.com che contiene informazioni su quali domini sono stati autenticati. Non esiste un modo reale per legare questo insieme, anche se senza utilizzare timestamp e con una connessione logica tra le applicazioni (es. - sub2 ha un timeout di sessione di 20 minuti, quindi se il dominio + timestamp valido si verifica nel cookie padre sarebbe valido, tuttavia questa è una logica aziendale).

Non sono sicuro del ragionamento alla base della disconnessione tra domini, ma in realtà si potrebbe preferire un singolo cookie con testo crittografato dietro testo crittografato. EG:

1) Sub1 accede, imposta il cookie parent.com come valido. Invia una parte di dati utente a un servizio Web di autenticazione.

2) Il servizio di autenticazione riconosce sub1 come mittente, crittografa i dati dell'utente e lo aggiunge a un oggetto cookie personalizzato.

3) L'oggetto cookie personalizzato costruisce una stringa composta su un unico carattere di divisione (o sequenza) e lo rende disponibile per il metodo di servizio.

4) Il servizio, utilizzando la crittografia dei moduli, crittografa l'intero ticket e lo invia al login originale.

In questo modo ogni server sarebbe in grado di decodificare il ticket globale, ma ogni pezzo di dati sarebbe crittografato utilizzando un algoritmo comune ma un server basato su sale. Quindi se sub2 tenta di leggere i dati dei cookie da sub1, ottiene la versione crittografata piuttosto che i dati grezzi.

Answer 3

è possibile condividere la stessa sessione su tutti i sottodomini. Questo è il codice che utilizziamo per realizzare questo :-)

void MasterPage_Unload(object sender, EventArgs e) 
{ 
    ///ASP.NET uses one cookie per subdomain/domain, 
    ///we need one cookie for _all_ subdomains. 
    if (Context.Response.Cookies["ASP.NET_SessionId"] == null) 
     return; 

    var sessionCookie = new HttpCookie("ASP.NET_SessionId", Context.Session.SessionID); 
    sessionCookie.Domain = ".yourdomain.com" ; 
    Context.Response.SetCookie(sessionCookie); 
} 

all'interno del metodo Page Load è:

Unload += MasterPage_Unload; 

funziona benissimo :-)

Robert