ASP.NET 5主站内嵌iframe独立二级站点免二次登录安全方案咨询

针对跨服务器、跨Web应用的主站+二级站场景，结合ASP.NET 5/Razor Pages技术栈，以下是优先级从高到低的可落地方案：

1. 标准OAuth 2.0 + OpenID Connect（OIDC）方案（首推） #

这是ASP.NET生态原生支持、安全标准最完善的单点登录实现，适合长期维护的生产环境：

• 主站作为身份提供方（IdP），可直接集成ASP.NET Core Identity 或 IdentityServer 搭建OIDC服务端，复用现有登录逻辑和用户存储
• 二级站作为OIDC客户端，用户访问二级站时自动跳转到主站OIDC授权端点，因主站已有登录态，无需用户输入账号密码，直接回传授权码给二级站
• 二级站后端拿授权码向主站换取ID Token和Access Token，校验通过后创建二级站自身的会话
• 适配iframe嵌入场景：需要调整OIDC关联Cookie的SameSite属性为None，同时开启Secure强制HTTPS传输，规避新版浏览器第三方Cookie拦截问题

示例配置（二级站Program.cs）：

builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = "oidc";
})
.AddCookie()
.AddOpenIdConnect("oidc", options =>
{
    options.Authority = "https://你的主站域名";
    options.ClientId = "二级站唯一客户端ID";
    options.ClientSecret = "提前在主站配置的二级站密钥";
    options.ResponseType = "code";
    options.SaveTokens = true;
    // 适配iframe的Cookie配置
    options.NonceCookie.SameSite = SameSiteMode.None;
    options.NonceCookie.SecurePolicy = CookieSecurePolicy.Always;
    options.CorrelationCookie.SameSite = SameSiteMode.None;
    options.CorrelationCookie.SecurePolicy = CookieSecurePolicy.Always;
});

2. 轻量JWT签名校验方案（适合不想搭建完整OIDC服务的场景） #

如果业务规模小，不想引入过重的身份服务，可以用带签名的JWT做身份传递：

• 主站用户登录后，用非对称加密密钥（RSA私钥）生成短过期时间（建议3-5分钟）的JWT，Payload仅携带必要的用户ID、权限标识等非敏感信息
• 主站前端通过postMessage接口向iframe父级（二级站前端）传递JWT
• 二级站前端拿到JWT后提交到自身后端，后端用提前同步的主站RSA公钥验签，校验通过后创建二级站会话

安全注意点：
必须严格校验postMessage的发送方origin，仅允许主站域名的消息进入
示例前端校验代码：

window.addEventListener('message', (e) => {
    if (e.origin !== 'https://你的主站域名') return;
    const token = e.data.jwtToken;
    fetch('/Auth/LoginByJwt', {
        method: 'POST',
        headers: {'Content-Type': 'application/json'},
        body: JSON.stringify({token})
    }).then(res => {
        if (res.ok) location.reload();
    })
})

3. 共享认证Cookie方案（仅适用于同根域名场景） #

如果主站和二级站属于同一个根域名（比如主站是xxx.com，二级站是yyy.xxx.com），可以用最简单的Cookie共享方案：

• 两个站点配置相同的Data Protection加密密钥和统一应用标识，保证Cookie加密解密逻辑一致
• 认证Cookie的Domain设置为根域名（如.xxx.com），两个站点都可以读取到该Cookie
• 二级站收到请求时直接校验主站颁发的认证Cookie有效性，通过即可登录

示例配置（主站和二级站都需要配置）：

// 统一Data Protection配置
builder.Services.AddDataProtection()
    .PersistKeysToFileSystem(new DirectoryInfo(@"共享密钥存储路径"))
    .SetApplicationName("统一业务应用标识");

// 统一认证Cookie配置
builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.Cookie.Domain = ".你的根域名.com";
        options.Cookie.SameSite = SameSiteMode.Lax;
        options.Cookie.HttpOnly = true;
        options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    });

通用安全注意事项 #

• 所有站点全程强制HTTPS传输，禁止在HTTP环境下部署身份相关服务
• 所有身份令牌必须设置合理的过期时间，敏感操作需要二次校验用户身份
• 会话Cookie必须开启HttpOnly属性，防止XSS攻击窃取凭证
• 二级站点的登录、访问日志需要和主站用户身份做关联，保证可审计溯源

内容的提问来源于stack exchange，提问作者Mark Brookes