使用Rails自定义认证实现与WordPress的SSO集成有哪些替代方案？

以下方案均不依赖devise，可直接适配你的自定义认证体系：

方案1：JWT签名校验方案 #

• 核心逻辑：Rails作为身份提供方（IdP），给跳转请求附加签名JWT，WordPress侧做校验后同步用户登录态
• Rails侧实现逻辑：
  1. 在你已有的自定义认证逻辑中，用户登录成功后要跳转WordPress时，生成包含用户核心信息（唯一标识ID、邮箱、用户名、过期时间）的JWT，用两边提前约定好的密钥完成签名
  2. 将生成的JWT作为参数拼接在WordPress的接收接口地址后执行跳转
• WordPress侧实现逻辑：
  1. 编写自定义插件或者在主题functions.php中新增接收逻辑：拿到JWT后用相同密钥验签，同时校验过期时间，确认身份信息合法有效
  2. 校验通过后，先查询WordPress本地是否存在对应用户（可通过邮箱或你传入的Rails用户ID作为唯一标识匹配），不存在则自动创建对应用户，随后调用WordPress内置的wp_set_auth_cookie()方法直接写入登录态，跳转至用户要访问的目标页面
  3. 额外添加防重放校验，JWT过期时间建议设置为5分钟以内，降低令牌泄露的安全风险

方案2：同根域名下加密Cookie共享方案 #

仅适用于Rails应用和WordPress站点属于同一个根域名的场景，比如Rails站为app.example.com，WordPress站为blog.example.com

• 实现逻辑：
  1. Rails侧用户登录成功后，写入一个根域名级别的加密Cookie，Cookie值包含加密后的用户唯一标识、过期时间，加密算法和密钥由两边提前约定
  2. WordPress侧每次初始化时检测是否存在该加密Cookie，解密后校验信息合法性，校验通过后直接同步登录态，后续逻辑和方案1一致
  3. 用户在Rails侧登出时，同步删除该根域名Cookie，WordPress侧检测到Cookie失效后同步执行登出操作

方案3：Rails侧自建轻量OAuth2.0服务方案 #

• 适用场景：两个站点域名完全不同，或者后续有扩展对接其他业务系统的需求
• 实现逻辑：
  1. Rails侧无需依赖devise的OAuth相关模块，直接基于你现有的自定义认证体系，开发3个轻量OAuth2接口：授权接口、令牌兑换接口、用户信息查询接口
  2. WordPress侧新增OAuth客户端逻辑，用户需要登录WordPress时，先跳转到Rails的授权页，你的自定义认证体系如果识别到用户已经处于登录状态，直接自动授权并跳转回WordPress，带回授权码
  3. WordPress拿授权码到Rails侧兑换访问令牌，再用令牌拉取用户信息，后续同步登录态的逻辑和前面的方案一致

通用注意事项 #

• 所有用户身份信息传输必须走HTTPS协议，避免明文传输泄露敏感信息
• 禁止直接传输明文用户信息，所有跨站传输的身份参数必须经过签名或加密校验
• 如果需要同步用户权限，可以在传输参数中扩展用户角色字段，WordPress侧同步创建/更新用户时直接对应用上角色配置

内容的提问来源于stack exchange，提问作者VG-P