跨域名自动迁移钱包连接状态可行性及安全性咨询

一、能否迁移连接状态？ #

可以实现，结合主域与子域的关联特性以及@web3-onboard的功能，可通过以下方式实现连接状态迁移：

• 共享Cookie存储：将钱包地址、链ID等非敏感连接状态存入主域Cookie（设置domain=.example.com），子域可读取该Cookie。跳转后@web3-onboard读取Cookie信息，自动尝试恢复连接会话。
• 统一@web3-onboard配置：两个dApp初始化@web3-onboard时，使用相同的appMetadata（如应用名称、图标），同时启用钱包自动连接功能。MetaMask会保留关联域名的授权记录，若用户已授权主域，子域请求连接时可能自动通过（取决于用户的MetaMask隐私设置）。
• 加密URL参数传递：跳转时通过URL传递加密后的钱包地址、链ID等信息（禁止传递私钥、签名等敏感数据），子域接收后验证数据合法性，再调用@web3-onboard接口恢复连接。

二、潜在安全隐患 #

• 跨域数据泄露：若主域Cookie未配置HttpOnly、Secure、SameSite=Strict属性，可能被XSS攻击窃取，导致连接状态泄露，攻击者可冒充用户发起操作。
• 授权滥用：若子域继承主域的钱包授权，一旦子域存在漏洞，攻击者可能利用授权发起恶意交易或代币授权操作（MetaMask交易确认弹窗可能被用户忽略）。
• 状态篡改风险：若通过URL传递未加密的状态参数，攻击者可篡改参数，诱导子域dApp建立虚假连接，进而实施钓鱼攻击。
• 会话劫持：若连接状态包含敏感会话标识且未加密存储，攻击者可能劫持会话，非法获取用户钱包访问权限。

三、安全实现建议 #

• 严格配置Cookie属性：设置domain=.example.com、HttpOnly、Secure、SameSite=Strict，确保Cookie仅通过HTTPS传输，且无法被前端JS读取，降低XSS风险。
• 使用@web3-onboard官方跨域方案：利用@web3-onboard的自定义存储配置（如官方跨域存储插件），确保状态存储的安全性与合法性。
• 增加状态验证环节：子域恢复连接前，向主域发起验证请求，确认连接状态归属当前用户，避免篡改。
• 保留用户确认步骤：即使能自动恢复连接，子域dApp需显示当前钱包地址，让用户手动确认是否继续使用该连接，避免静默连接引发风险。

内容的提问来源于stack exchange，提问作者Dobromir Kirov