如何在嵌入第三方应用iframe的Web应用中免认证展示私有数据？

针对你把app1嵌入app2 iframe、实现已认证用户无授权访问私有数据的需求，以下是几个可落地的方案：

方案1：JWT跨域身份传递（最通用） #

这是跨域场景下最可靠的方案，核心是app2给app1传递加密的用户身份凭证，app1验证后自动建立会话。

步骤： #

1. 约定密钥与规则：app1和app2提前约定一个对称加密密钥（或使用非对称密钥对，app2用私钥签名，app1用公钥验证），同时定义JWT的过期时间、签发者（iss）等字段规则。
2. app2生成身份凭证：当app2渲染包含app1的iframe时，根据当前登录用户的身份信息（比如user_id、用户名）生成JWT，确保JWT包含必要的用户标识，且设置较短的过期时间（比如5分钟）。
3. 传递JWT到app1：
   • 方式一：将JWT作为URL参数拼接到app1的嵌入地址中，比如：https://app1.example.com/user-data?auth_token=xxx
   • 方式二：通过postMessage向iframe内的app1发送JWT，app1监听message事件接收凭证。
4. app1验证并建立会话：
   • app1后端接收到JWT后，先验证签名有效性、过期时间、签发者是否为app2。
   • 验证通过后，解析出用户身份信息，自动为该用户创建会话（比如设置session cookie），后续请求直接使用会话认证。

安全注意： #

• 必须用HTTPS传输，防止JWT被中间人窃取。
• JWT内只传递非敏感的用户标识（如user_id），不要放密码、手机号等敏感数据。
• app1要严格验证JWT的签发者，避免第三方伪造凭证。

方案2：共享Cookie（同主域场景优先） #

如果app1和app2属于同一主域名（比如app1.example.com、app2.example.com），可以通过共享Cookie实现无感知认证。

步骤： #

1. 配置Cookie跨域属性：app2在设置认证Cookie时，将domain设为根域名（.example.com），path设为/，同时开启Secure和SameSite=None（如果需要跨子域嵌入）。
2. app1复用Cookie认证：当app1在iframe中加载时，浏览器会自动携带共享的认证Cookie，app1后端直接用该Cookie验证用户身份，无需额外操作。

限制： #

• 仅适合同主域或信任的子域场景，跨完全不同的域名时，浏览器的第三方Cookie政策（如Chrome的SameSite默认设置）会拦截Cookie，导致方案失效。
• 需确保双方都使用HTTPS，否则Secure属性无法生效。

方案3：反向代理会话传递（内部系统适用） #

如果app1和app2部署在同一内网或可通过反向代理整合，可通过代理层传递用户身份。

步骤： #

1. 配置反向代理：在app2的服务器（或专用代理服务器）上，将某个路径（比如/app1）反向代理到app1的地址。
2. 传递身份信息：代理层从app2的请求中提取已认证的用户身份（比如从Cookie或请求头中获取user_id），然后将该身份信息添加到转发给app1的请求头中（比如X-User-ID: 123）。
3. app1验证身份：app1后端读取代理传递的请求头信息，直接验证用户身份并返回私有数据。

优势： #

• 无需前端处理身份传递，对用户完全透明。
• 适合内部系统，部署环境可控的场景。

内容的提问来源于stack exchange，提问作者RAJU C