经典干货 | Taobao SSO 跨域登录过程解析

目录

• 基础知识

• 测试过程

• 禁用Cookie

• 分布式Session 的常见解决方案

• 思考

• Session 劫持与防范

• 本质思考

• 抓包工具介绍

我们知道双十一是天猫的主场，双十二是淘宝的主场，你有没有注意到你在登录了淘宝后，访问天猫或者飞猪，你还是处于登录态的，但是我们知道cookie是不能跨域的。

那么阿里是如何做到了多域名下的登录态同步呢？

接下来我们通过抓包进行请求解析来了解这个过程。

1. 如果忘了Cookie和Session的区别，那么建议你先回顾一下，可以参考：https://github.com/astaxie/build-web-application-with-golang/blob/master/zh/06.1.md

   
   

2. 如果不知道为什么需要鉴权，为什么需要SSO，为什么需要跨域登录，建议你先阅读上一篇文章“系统权限控制”。

1. 访问www.taobao.com 请求登录，跳转到 login.taobao.com

• 输入用户名和密码后，登录成功，302 回调到www.taobao.com页面

• Post 表单到 login.taobao.com , response 为 set-cookie，并通过redirectURL 跳会www.taobao.com首页；

• 
  

访问 www.tmall.com

• www.tmall.com页面响应中发起新的请求 tmcc.tmall.com/pass.com

  
  

请求页面 https://tmcc.tmall.com/pass.htm

• 响应为 302 跳转到： https://login.taobao.com/jump?target=https://tmcc.tmall.com/pass.htm?tbpm