Ａ,Ｂ系统是前后端分离的。
(两个系统跨域)
现在Ａ系统一个页面跳转到Ｂ系统中。
现在是用的跳转到Ｂ系统，地址栏中带了一个加密token (包含用户id).帮其自动登陆上了。
此页面显示的商品信息和该用户的折扣。
此时假如我知道了别人的token，然后修改地址栏。页面就变成别人的信息了。
此时我都不知道别人的账号密码，然后就获得了别人的一些用户信息.
Copyright 2014-2026 https://www.php.cn/ All Rights Reserved | php.cn | 湘ICP备2023035733号
4
1756
收藏
最简单的办法，也是比较安全的办法。在b站帮其登录的时候，再弹次框。让其确认密码！
有个叫csrf的令牌或者。随机数的办法。值得你拥有。csrf令牌就是限制这样的跨域攻击的
JWT的验证token是要放到header里的，你可以考虑授权认证
首先token的出现就是为了解决用户验证的问题 既然是两个系统了就应该避免自动登录的这种情况 这是很不安全的。
不过你既然有这样的需求 那只有尽量侧面规避了，给个方案：token中尽量避免敏感信息 ，其次就是在授权跨系统的token时 把这个token的授权设为一次性的 并且压缩token的有效时间 如此token只办30分钟内有效
其实你可以参考现在的很多第三方登录 如微博等 授权的token都只包含昵称，头像等少量信息