跨域场景下AMP缓存页与认证页的登录状态共享问题及客户端解决方案咨询

问题1：AMP是否确实无法在不同域的窗口间共享用户登录状态？ #

没错，确实没办法直接跨不同域共享登录状态，核心原因是浏览器的同源策略（Same-Origin Policy）在起作用：

• Google缓存的AMP页面属于google.com域，而你的登录Cookielogin-status作用域是.oursite.com，这两个完全不同源，浏览器会严格隔离不同域的Cookie，google.com下的页面根本无法读取.oursite.com的Cookie。
• 再加上AMP本身的沙箱机制，进一步限制了跨域资源访问和脚本执行，连常规的跨域脚本操作都被约束，所以直接共享Cookie这条路走不通。

你提到的纽约时报AMP方案，其实他们也是结合了服务器端验证+AMP的amp-access组件，本质还是依赖后端来关联用户身份，而非纯客户端跨域共享状态。

问题2：有没有服务器端方案以外的客户端侧解决方案？ #

虽然同源策略卡得死，但还是有几个轻后端配合、核心逻辑偏向客户端的思路可以尝试：

方案1：利用postMessage+AMP的amp-access重验证 #

• 当用户在register.oursite.com的弹窗登录成功后，弹窗通过postMessage向Google缓存的AMP页面发送一个“登录成功”的信号（比如{ type: 'LOGIN_SUCCESS' }）。
• AMP页面监听这个消息，收到后触发amp-access组件的重新授权请求（可以调用amp-access的reauthorize方法）。
• 你的amp-access配置里，授权端点指向oursite.com的一个接口，这个接口需要配置CORS允许google.com的跨域请求，并且允许携带凭证（Access-Control-Allow-Credentials: true）。
• 因为用户已经登录，浏览器会自动把.oursite.com下的login-statusCookie带到这个授权请求里，后端接口验证Cookie有效后，返回“已登录”的状态给AMP页面。
• AMP页面根据这个返回结果，切换显示受保护的内容。

方案2：通过postMessage传递临时身份令牌 #

• 登录成功后，register.oursite.com的弹窗生成一个短期、加密的身份令牌（比如JWT，包含用户标识，有效期设短一点，比如15分钟）。
• 弹窗通过postMessage把这个令牌发送给AMP页面。
• AMP页面把令牌存在AMP的amp-storage里（AMP提供的本地存储机制，google.com下的AMP页面可以用它来存临时数据）。
• 之后AMP页面加载受保护内容时，把这个令牌放在请求头里，调用oursite.com的内容接口，接口验证令牌有效后返回内容。

注意：这个令牌一定要加密，并且有效期要短，避免被窃取滥用。

方案3：利用AMP的amp-login-dialog+跨域状态同步 #

如果可以调整登录弹窗的实现，改用AMP官方的amp-login-dialog组件：

• 把登录逻辑嵌入到符合AMP规范的弹窗里，弹窗的内容来自register.oursite.com（通过src属性指定）。
• 登录成功后，register.oursite.com设置好.oursite.com的Cookie，然后通过postMessage通知AMP页面登录状态变化。
• AMP页面同样触发amp-access的重新验证，后续流程和方案1一致。

内容的提问来源于stack exchange，提问作者Abd