登录domain-1的主页后验证iframe请求到domain-2

Question

我有一个带身份验证的父 Web 应用程序 (user/password)。

我想在我的 我的另一个域 的应用程序中打开一个嵌入式（子）iframe，由于我已经在父域中进行了身份验证，它将批准该请求。另一个域不知道我的用户名/密码，所以我真的需要某种形式的批准才能证明这是一个有效的请求。

我知道跨域限制，我想知道这里的最佳做法是什么。我可以在我的主域服务器上创建令牌或任何需要的东西，但我不知道这里的正确工作流程是什么。

Answer 1

您可以在呈现父页面时生成一个令牌，然后在从您的其他域请求 iframe 内容时传递它：

<iframe src="https://another-domain.com?token=XXYY" width="10" height="10"></iframe>

但是，这意味着您可以在其他服务器上验证此令牌。