Question

cookie、session、redis实现单点登录

想到一个问题，用户登录以后把session存入redis里面，session共享，并返回相关标识与cookie中
这种做法是否可以实现单点登录
这样子做有什么问题吗？安全问题？[

Answer 1

单点登录是要求客户端保存用户登录的票据（ticket）的（简化一点，也可以是会话id）

对于不同子域名下，是可以这么做的。通常cookie中，只保存session的标识（id），或者与sessionId一一对应的key。
在访问重要的资源时（不同子域名下），可以要求用户重新输入一次登录密码，或者输入其他用户的安全码。
可以使用 httponly 提高安全属性，但也不能完全防止xss攻击。