मुझे लगता है कि आप गलत समझ रहे हैं कि एकल साइन-ऑन कैसे काम करता है।
वेबसाइट 1 और वेबसाइट 2 पर विचार करें जो एकल साइनऑन का उपयोग करना चाहते हैं।
पहचान प्रदाता पर एक लॉगिन वेबसाइट बनाई गई है। यह एकमात्र ऐसा स्थान है जहां लॉगऑन स्क्रीन दिखाई देती है।
जब उपयोगकर्ता वेबसाइट 1 पर जाता है और वेबसाइट लॉगिन करने का विकल्प चुनता है तो उपयोगकर्ता पहचान प्रदाता पर लॉगऑन स्क्रीन पर भेजता है। उपयोगकर्ता पहचान प्रदाता पर लॉग ऑन करता है जो अपने डोमेन के लिए अपनी लॉगिन कुकी छोड़ देता है (और शायद उपयोगकर्ता को उनकी प्रमाणीकरण जानकारी सहेजने की अनुमति देता है ताकि उन्हें कभी भी संकेत नहीं दिया जा सके)। इसके बाद ब्राउज़र को वापस वेबसाइट 1 पर रीडायरेक्ट किया जाता है जिसमें वेबसाइट 1 क्रैक खोलने के अनुरोध में टोकन शामिल है, पहचान जानकारी प्राप्त होती है और इसकी अपनी लॉगिन बिट्स (इसे अपनी खुद की प्रमाणीकरण कुकी छोड़ती है जो इसे चाहती है) छोड़ देती है।
तब उपयोगकर्ता वेबसाइट 2 पर जाता है और लॉगऑन का चयन करता है। वेबसाइट 2 उपयोगकर्ता को पहचान प्रदाता के लिए उछालता है, जो पहले से ही जानता है कि उपयोगकर्ता कौन है और, यदि उपयोगकर्ता ने अपनी लॉगिन जानकारी को सहेजना चुना है, तो चुपचाप प्रमाणित करता है और फिर वेबसाइट 2 पर वापस दूसरे टोकन के साथ रीडायरेक्ट करता है जो वेबसाइट 2 क्रैक खुले होते हैं और फिर अपनी लॉगिन बिट्स करते हैं।
वहाँ उसके चारों ओर सुरक्षा का एक समूह, विशेष रूप से वेबसाइटों के लिए टोकन सीमित, केवल अनुमति देता है टोकन आदि आदि
अपनी चिंताओं
तो पता करने के लिए
- उपयोगकर्ता पर लॉग श्वेतसूची वाले वेब साइटों के लिए भेजा जाना है वेबसाइट 1 और फिर वेबसाइट 2 पर ले जाता है। वेबसाइट 2 कैसे पता चलेगा कि उपयोगकर्ता लॉग इन है? यह नहीं है वेबसाइट 2 को पहले एकल साइनऑन साइट से प्रमाणीकरण जानकारी का अनुरोध करना होगा।
- इसका मतलब है कि मुझे वेबसाइट 1 में सभी यूआरएल को मार्शल करना होगा जो वेबसाइट 2 पर ले जाता है? नहीं, जब तक आप वेबसाइट 1 पहचान प्रदाता भी नहीं बनाते। फिर भी यह दर्दनाक होगा, यदि टोकन आवश्यक है तो वेबसाइट 2 को पहचानप्रोवाइडर पर वापस रीडायरेक्ट करना बेहतर होगा।
- दूसरा, यदि उपयोगकर्ता 1 घंटे के लिए वेबसाइट 2 ब्राउज़ करना जारी रखता है और फिर वेबसाइट 1 पर जाता है। उस समय तक वेबसाइट 1 सत्र का समय समाप्त हो गया है ताकि उपयोगकर्ता लॉगिन पृष्ठ देख सके, है ना? - यह निर्भर करता है कि आप वेबसाइट 1 को कैसे कॉन्फ़िगर करते हैं, और यह कितनी देर तक प्रमाणीकरण कुकी के लिए रहता है।
- लेकिन यह व्यवहार कार्यक्षमता पर एकल हस्ताक्षर के अनुसार गलत है। नहीं यह नहीं। एकल साइनऑन का मतलब यह नहीं है कि आपको एक फ़्लोटिंग टोकन मिलता है जो साइटों के बीच साझा किया जाता है। प्रत्येक वेबसाइट जो एकल साइन-ऑन का उपयोग करती है अभी भी अपनी खुद की प्रमाणीकरण कुकी बनाती है। क्या हो सकता है यदि उपयोगकर्ता वेबसाइट 1 पर वापस जाता है तो यह एक कालबाह्य प्रमाणीकरण कुकी का पता लगाता है, फिर उपयोगकर्ता को एक ही साइनऑन पेज पर भेजता है जहां उन्हें प्रमाणीकृत किया जाता है (चुपचाप) और एक नया टोकन वेबसाइट 1 पर वापस धकेल दिया जाता है जो एक नया बनाता है खुद के लिए प्रमाणीकरण कुकी।
यह सिंगल प्रमाणीकरण है और एकल साइन ऑन नहीं है, आपको उसी प्रमाणीकरण वाले एन साइटों के लिए एन बार साइन इन करना होगा। –
आपको प्रमाणीकरण और प्रमाणीकरण के बीच अंतर करना चाहिए। आप किसी ऐसे उपयोगकर्ता को अधिकृत कर सकते हैं जिसका अर्थ है कि आप जानते हैं कि वे कौन हैं, जिनके बारे में वे दावा करते हैं, लेकिन आपको अभी भी उस उपयोगकर्ता को अधिकृत करने की आवश्यकता है, अपनी 2 वेब साइटों में से किसी एक पर, वे सामग्री तक पहुंच सकते हैं और प्रत्येक साइट पर नहीं पहुंच सकते हैं। टोकन समाप्त हो जाएगा लेकिन आम तौर पर पहुंच बनाए रखने के लिए ताज़ा किया जा सकता है। – htm11h