如何无需二次登录实现WordPress旧工具页跳转至React新工具页？

Hey，刚好我之前处理过类似的跨系统免登录跳转需求，结合你的情况（没WordPress权限、新工具是React+Java/Maven架构），给你梳理几个最优方案，从易到难，你可以根据实际情况选：

方案1：基于加密Token的跳转认证（最易落地，适合用户体系统一的场景） #

这是对你来说最友好的方案，核心思路是让WordPress那边帮忙生成一个加密的一次性用户标识Token，跳转时携带这个Token给新工具后端，后端验证后自动完成登录。

• 具体步骤：

  1. 联系WordPress管理员，在旧工具页面的跳转链接里加入加密后的用户信息参数，比如：
     https://你的新工具域名/login/sso?token=【加密后的用户ID/邮箱】
     （加密要用双方约定好的密钥，比如AES加密，避免明文传输用户信息）
  2. 新工具的Java后端实现一个/login/sso接口，逻辑如下：
     • 接收token参数，用约定的密钥解密得到用户唯一标识
     • 查询新工具的用户数据库，验证该用户是否存在
     • 生成新工具的登录凭证（比如JWT Token或者Session），写入Cookie或返回给前端
     • 自动跳转到新工具模块页面
  3. React前端检测到登录状态后，直接进入新工具模块

• 简化版Java后端代码示例：

@GetMapping("/login/sso")
public ResponseEntity<?> ssoAutoLogin(@RequestParam String token) {
    // 用和WordPress约定的密钥解密Token
    String userEmail = AESUtils.decrypt(token, "共享的加密密钥");
    // 查询新工具数据库中的用户
    User user = userRepository.findByEmail(userEmail)
            .orElseThrow(() -> new RuntimeException("用户不存在，请先注册"));
    // 生成新工具的JWT登录凭证
    String jwtToken = JwtGenerator.generateToken(user.getId(), user.getEmail());
    // 将JWT写入HttpOnly Cookie（更安全）
    HttpHeaders headers = new HttpHeaders();
    headers.add("Set-Cookie", String.format("jwt=%s; Path=/; HttpOnly; Secure; SameSite=Lax", jwtToken));
    // 跳转到新工具页面
    headers.setLocation(URI.create("/new-tool"));
    return new ResponseEntity<>(headers, HttpStatus.FOUND);
}

• 注意点：
  • Token必须设置短有效期（比如5分钟），且只能使用一次（验证后立即失效），防止被复用
  • 必须用HTTPS传输，避免Token被劫持

方案2：OAuth2.0授权码模式（标准安全方案，适合用户体系独立的场景） #

如果两个系统的用户体系是分开的，或者需要更规范的安全流程，可以用OAuth2.0协议，把WordPress作为授权服务器，新工具作为客户端。

• 具体步骤：

  1. 让WordPress管理员安装OAuth2服务器插件（比如官方的OAuth2 Server插件），配置新工具为授权客户端：设置客户端ID、客户端密钥、回调地址（比如https://你的新工具域名/oauth/callback）
  2. 旧工具页面的跳转链接改成OAuth授权地址：
     https://WordPress域名/oauth/authorize?client_id=你的客户端ID&redirect_uri=https://你的新工具域名/oauth/callback&response_type=code&scope=basic_profile
  3. 新工具Java后端实现/oauth/callback接口：
     • 接收授权码code，调用WordPress的OAuth接口交换访问令牌
     • 用访问令牌调用WordPress的用户信息接口，获取用户基本信息
     • 自动为该用户创建新工具账号（如果不存在）或直接生成登录凭证
     • 跳转到新工具模块
  4. React前端完成登录状态同步

• 适合场景：如果你能说服WordPress管理员配合配置OAuth插件，这个方案是最安全合规的，后续扩展也方便。

方案3：同主域Cookie共享（仅限域名同源场景） #

如果两个网站是同主域下的子域名（比如old.yourdomain.com和new.yourdomain.com），可以通过共享Cookie实现免登录，但这个方案限制较多。

• 具体步骤：

  1. 让WordPress管理员修改登录Cookie的配置：设置Domain为根域（比如.yourdomain.com），开启HttpOnly和Secure
  2. 新工具Java后端在用户跳转过来时，读取WordPress的登录Cookie，用WordPress的密钥解密Cookie中的用户信息
  3. 验证用户信息有效性后，生成新工具的登录凭证，跳转到新工具模块

• 注意点：

  • 必须是同主域，跨主域无法共享Cookie
  • 需要WordPress管理员修改Cookie配置，如果你没权限协调的话这个方案就行不通

给新手的实操建议 #

1. 先确认两个系统的用户体系是否统一（比如是否共享同一个用户数据库），这直接决定了方案的选择
2. 优先尝试方案1，因为它对WordPress的改动最小，只需要管理员加个带加密参数的跳转链接
3. 所有涉及用户信息的传输必须用HTTPS，避免数据泄露
4. 测试时先在本地环境模拟，没问题再部署到生产

内容的提问来源于stack exchange，提问作者crptdactyl