在两个rails4应用程序之间共享会话

我正在用设计创建一个应用程序。 有两个域名1）www.test.com和2）www.hello.com两个域指向同一个应用程序。 所以我想在两个应用程序之间共享session（current_user）。 用户将登录（1）并且应该访问域（2）。

请建议什么是最好的方式。

Answer 1

这里的基本问题是cookie的工作方式（当然会话取决于哪种方式）。 Cookie具有域属性，浏览器只发送域名与请求主机匹配的Cookie（域名开头的句点含义有点微妙）

此外，在设置cookie时，浏览器只接受作为当前域的父域并且不是公共域的域。 例如，如果您收到来自www.example.com的回复，则可以为www.example.com或example.com设置cookie，但不能设置.com （浏览器列出不应允许的域名）。

所有这一切都说，如果你的两个应用程序不共享一个共同的父级（就像你的情况一样），那么你就无法共享cookie，因此你无法共享一个rails会话。

有许多方法可以解决这个问题，一个简单的方法称为CAS （中央身份validation服务）协议。 这个的基本流程是

1. 用户访问hello.com并尝试访问某些受保护资源（例如/ home
2. 用户被重定向到sso.example.com/service?=http://hello.com/home
3. 像往常一样validation用户的身份：用户登录，从cookie等识别。
4. sso服务生成一个票证（一个仲裁令牌）并将用户重定向到http://hello.com/home?ticket=ABC123
5. hello.com上的应用程序将（服务器端）请求发送回SSO服务器，并传递票证
6. SSO服务器响应指示票证是否有效。 如果票证有效，它还将包含有关用户的一些信息（例如电子邮件）
7. hello.com设置会话cookie，以便后续请求可以跳过步骤2-6

cas的ruby实现（例如rubycas同时具有cas客户端和服务器）并设计使用CAS的策略 。 当然还有其他方法可以做到这一点，例如使用誓言，但CAS更简单一些。

Answer 2

我基本上在许多Amazon EC2实例上部署了相同的应用程序，所有应用程序服务器共享一个公共数据库。 因此，这允许我扩展。

所以我的答案是表单真实性令牌会自动负责维护会话，你不必担心。 它应该工作。

对于多个域，这可以解决问题

  APP::Application.config.session_store :cookie_store, key: '_app_session', domain: :all 

请注意，如果仅更改TLD，这将起作用。 例如： hello.com和hello.org 。

参考文献：

https://github.com/rails/rails/commit/1091a6e9b700bd713c8a6818761a27aa72b1fe93