Как реализовать авторизацию без sessions на бэкенде?

Question

[Оля]

Всем привет!
Есть сервис через который делается заказ (форма заказа, админка). Форма заказа и форма входа встраивается в разные сайты (не одного домена) через iframe. заказ происходит с привязкой к текущему домену. Авторизация реализована классически (проверка юзера на бэкенде и запись его данных в сессию на бэке). Но при таких обстоятельствах если юзер зайдет в админку на одном сайте, то на другом этот же юзер все еще будет оставаться в админке. Как лучше переписать авторизацию, чтобы человек оставался авторизованным с привязкой к домену? Может у кого-то есть примеры решений похожих задач?

Answer 1

[Иван Корюков]

То что на другом сайте юзер тоже будет авторизован вы проверяли или только так думаете? Просто это не должно так работать - сессия привязывается к кукам, которые видны только на том сайте, который их поставил.

А если даже это и работает так как вы говорите, то просто измените структуру сессии - данные для каждого отдельного сайта храните под ключём, которым является домен этого сайта.

Comments

[Оля]

да, сейчас так работает. Юзер залогинен. Так как работает эта штука через iframe на сайтах, то скорее всего идет привязка к домену исходного сайта, а не того, куда вставляется iframe

Answer 2

[Алексей Черемисин]

Передавайте jwt токены. Их можно передавать и с формой, и в http-хедерах, и даже подгружать через js.