无SSO/IDM方案下，从Web应用A登录至应用B的最优安全方案咨询

以下是几种兼顾安全性和用户体验的可行方案，按优先级排序：

1. 一次性临时授权令牌方案（最优选择） #

这是最接近SSO体验且安全性可控的方案：

• 步骤：
  1. 应用A先确认当前用户已合法登录（校验自身会话）。
  2. 生成一个一次性、短有效期（建议3-5分钟）、绑定用户ID+目标应用标识的授权令牌，用仅A和B知晓的密钥做HMAC-SHA256签名。
  3. 通过POST表单（优先）或加密的URL参数，将令牌传递到应用B的专属授权接口（比如https://appB.com/auth/from-app-a）。
  4. 应用B接收令牌后，先验证签名有效性、有效期、应用标识，确认无误后直接为对应用户创建会话，完成自动登录。
• 安全细节：
  • 令牌必须是一次性的，验证后立即从A的存储中标记失效，防止重放。
  • 禁止用明文传递令牌，POST方式比URL参数更安全（避免令牌出现在日志、浏览器历史中）。
  • 密钥要定期轮换，且绝不硬编码到代码中，用环境变量或密钥管理系统存储。

2. 加密用户标识传递方案（适合同信任域） #

如果A和B属于同一信任体系（比如同公司内部应用），可以采用这种方式：

• 步骤：
  1. 应用A对用户的唯一可信标识（比如内部用户ID、已验证的邮箱），用对称加密算法（比如AES-256）加密，同时附加当前时间戳和签名。
  2. 将加密后的内容传递给应用B，B用共享密钥解密后，验证时间戳（防止重放，比如有效期10分钟内）和签名。
  3. 验证通过后，应用B为该用户创建会话。
• 安全细节：
  • 仅传递用户标识，绝不传递密码或会话Cookie。
  • 加密密钥必须严格保密，仅限A和B的服务端访问，绝不能暴露给前端。

3. 定向跳转+预填充身份提示（最低成本方案） #

如果上述方案无法实现，这种方式虽然需要用户手动验证，但安全性最高：

• 步骤：
  1. 应用A直接跳转到应用B的登录页面，URL中携带用户身份提示参数（比如https://appB.com/login?user_hint=zhangsan@company.com）。
  2. 应用B的登录页自动预填充用户名/邮箱，但仍强制用户输入密码或完成多因素验证（MFA）。
• 安全细节：
  • 提示参数仅用于提升体验，不能作为身份凭证，必须走B的完整登录流程。
  • 应用B要对提示参数做格式校验，防止注入攻击。

通用安全准则 #

• 所有跨应用跳转必须校验目标域名，仅允许跳转到应用B的合法域名，防止钓鱼攻击。
• 记录所有跨应用登录请求的日志，包括用户ID、时间、令牌有效性等，便于审计。
• 绝不使用持久化的凭证（比如A的会话ID）作为登录B的依据，避免凭证泄露导致越权。

内容的提问来源于stack exchange，提问作者Net Flex