如何在Wix.com中隐藏嵌入式站点URL，或实现Wix与AWS站点单点登录？

首先明确：不存在100%完全隐藏目标URL的方法，因为浏览器要正常渲染嵌入内容，必然要向AWS站点发起网络请求，技术能力足够的用户可以通过抓包、JS调试等方式拿到最终请求地址，以下方案仅可提高获取门槛，拦截普通用户直接从HTML源码拿到URL：

• 后端代理中转：基于Wix Velo编写后端HTTP函数，前端不直接填写AWS站点地址到iframe的src属性，而是指向Wix后端路径，由Wix后端拉取AWS站点的内容再返回给前端渲染，此时HTML源码中只会出现Wix的自有路径，不会暴露AWS源站地址。如果AWS站点存在相对路径的静态资源，需要在中转逻辑中完成路径替换，避免资源加载失败。
• AWS源站加访问限制：在AWS侧配置WAF或者CloudFront规则，仅允许携带Wix后端生成的临时签名、或仅允许Wix服务器IP段的请求访问源站，即使用户拿到了临时URL，签名过期后也无法直接访问AWS站点。
• 前端逻辑混淆：不要将AWS站点URL硬编码在HTML属性中，将URL字符串拆分后用JS加密混淆，页面运行时动态拼接后赋值给iframe的src属性，普通用户查看静态HTML源码时无法直接拿到明文URL。

你可以通过以下几种方案实现同一套账号一次登录同时访问两个站点：

• JWT跨域身份校验：Wix和AWS侧提前约定好相同的JWT签名密钥，用户在Wix站点登录后，由Wix后端生成包含用户身份信息、有效期的JWT令牌，嵌入AWS站点时将JWT放在请求参数中带到AWS侧，AWS侧校验JWT签名和有效期合法后，自动为用户创建登录会话，无需二次输入账号密码。
• 统一身份认证服务：自行搭建一套独立的OAuth2.0身份认证服务，Wix和AWS站点的登录逻辑都对接该认证服务，用户第一次完成登录后，认证服务会分别给两个域名下发合法的会话凭证，后续访问两个站点都会自动识别登录状态。
• Wix会员系统同步：如果你使用Wix自带的Members会员系统，可以在用户登录Wix后，通过iframe的postMessage能力向嵌入的AWS站点传递加密后的登录凭证，AWS站点验证凭证合法后自动种下会话Cookie，完成自动登录。

注意所有跨域传递身份凭证的逻辑都需要做好加密和有效期限制，避免凭证泄露引发账号安全风险

内容的提问来源于stack exchange，提问作者Yingwei HU