在Java开发中，处理多域名网页授权是一个常见的需求，尤其当系统需要支持多个业务域名或子域名统一登录时，如何安全、高效地实现跨域授权成为关键，本文将从多域名授权的核心逻辑、技术实现方案及注意事项三个维度展开说明。
多域名授权的核心逻辑
多域名网页授权的本质是让用户在一个域名下完成身份验证后，其他信任域名能够自动识别用户身份，无需重复登录，其核心逻辑围绕“统一认证中心”和“信任域名列表”展开：
- 统一认证中心：所有域名的登录请求均指向同一个认证服务（如
auth.example.com），负责处理用户登录、生成凭证及会话管理。 - 信任域名列表：认证中心需维护一个允许访问的域名白名单，仅验证白名单内的域名，防止未授权域名窃取用户凭证。
- 凭证传递机制：用户登录成功后，认证中心通过某种方式（如Cookie、Token）将用户凭证传递给信任域名,实现跨域身份同步。
技术实现方案
基于Cookie的跨域共享
Cookie是传统的会话管理方式，通过设置domain和path属性可实现跨域共享，具体步骤如下：
- 认证中心Cookie设置：登录成功后，在响应头中设置Cookie，
Set-Cookie: sessionId=xxxx; Domain=.example.com; Path=/; HttpOnly; Secure
其中
Domain=.example.com允许所有子域名（如www.example.com、api.example.com）访问该Cookie。 - 跨域限制：需确保各信任域名在Cookie的
domain范围内，且浏览器需支持跨域Cookie传递（需注意同源策略的限制）。
适用场景：适用于同主域名下的多子域名授权，实现简单但需谨慎处理安全属性（如HttpOnly防XSS窃取、Secure防中间人攻击）。
基于JWT（JSON Web Token）的无状态授权
JWT是一种基于Token的认证方式，无需依赖Cookie，更适合跨域环境，实现流程如下：
- 登录认证：用户向认证中心提交凭证，验证通过后生成JWT（包含用户ID、过期时间等信息），并返回给客户端。
- 跨域传递：客户端在访问其他信任域名时，通过HTTP请求头（如
Authorization: Bearer <token>）携带JWT。 - 域名验证：信任域名收到请求后，需验证JWT的签名有效性及域名白名单（可在JWT的payload中添加域名字段，或通过数据库查询验证）。
优势：无状态、支持分布式架构，适合前后端分离场景；但需注意Token过期机制及安全存储（如HTTPS防Token泄露）。
授权服务器与资源服务器分离（OAuth2.0）
若系统涉及多业务线或第三方授权，可采用OAuth2.0框架，核心角色包括：
- 授权服务器（Authorization Server）：负责颁发访问令牌（Access Token），如使用Spring Security OAuth2。
- 资源服务器（Resource Server）：各业务域名作为资源服务器，验证令牌有效性并返回用户数据。
流程示例：
- 用户访问
www.example.com，重定向至授权服务器auth.example.com登录。 - 授权服务器验证用户后，返回
code，客户端通过code换取access_token。 - 客户端携带
access_token访问www.example.com的资源服务器，资源服务器向授权服务器验证令牌后返回数据。
适用场景：复杂的多租户系统或第三方应用授权,安全性高但实现较复杂。
关键注意事项
- 域名白名单管理：需动态维护信任域名列表，支持配置更新，避免硬编码导致的安全风险。
- HTTPS强制启用：所有域名间的通信必须使用HTTPS，防止凭证（如Cookie、Token）被中间人攻击窃取。
- 会话与Token过期策略：合理设置Cookie过期时间或Token有效期，并支持主动刷新或注销机制。
- 跨域请求安全（CORS）：若前端与后端分离，需配置CORS策略（如
Access-Control-Allow-Origin），但需限制允许的域名及请求方法。
多域名授权方案对比
| 方案 | 优点 | 缺点 | 适用场景 |
|———————|——————————-|——————————-|—————————|
| Cookie跨域共享 | 实现简单，浏览器原生支持 | 依赖Cookie，跨域限制较多 | 同主域名下的子域名授权 |
| JWT无状态授权 | 无状态，支持分布式，跨域灵活 | 需自行处理Token安全存储 | 前后端分离、多域名统一登录|
| OAuth2.0授权 | 安全性高，支持第三方授权 | 架构复杂，需额外维护授权服务器| 多租户系统、第三方应用接入|
Java多域名网页授权的实现需结合业务场景选择合适的技术方案，核心在于统一认证、域名验证及凭证传递的安全管理，无论是基于Cookie、JWT还是OAuth2.0，均需重点关注安全性和可扩展性，确保用户身份在多域名间的可信传递,同时避免潜在的安全风险。
