跨多个域的用户验证

Question

发表了上一个问题，但有后续。我正尝试在昂贵的自定义域上创建一个解决方案来使用SSL。我愿意接触https://app.heroku.com从http://www.app.com用户对某些安全页面，并有猴子补丁SSL需要做到这一点。但是，现在这个问题与确保我的用户登录时，我这样做。据我所知，Cookie不是跨域的。有没有解决这个问题的方法？

Answer 1

正在处理这个问题 - 不，会话没有通过，你可以做一些黑客与iframe等，但然后你会得到安全警告，并不是所有的页面上的安全...
你不能通过任何跨域，如果你想保持它的安全...
我发现的唯一方法是在https页面的URL + user_id中传递自定义authenticity_token（你可以做md5("#{user.id} The Secret")），并检查是否你在https页面上得到了同样的结果...
不是太复杂，但有点难看...

在我的情况下，这是一个付款页面，所以我没有真正的汽车e如果用户登录，因为如果有人入侵它 - 他只会付钱给别人:)

Answer 2

那么，你可以尝试http://www.chrisbaglieri.com/2010/01/01/heroku-hacks-ssl.html，看看它是否适合你的需要。这不是一个完美的解决方案，但它可以保证达到一定的水平。如果您使用的是不同的身份验证，则可能需要自行实施。