Loginformular für einen sicheren Login emulieren

[MikeZ]

Hallo,

Ich suche für folgendes Problem eine sinnvolle/sichere Lösung:

es existieren 2 Websites auf beiden sind identische Benutzerdaten (User + Kennwort) hinterlegt. Website B ist ein Shop welcher extern läuft.

Angenommen ein Benutzer loggt sich auf Website A ein und möchte dann mittels Link den geschützten Shop auf Website B betreten. Es sollte also so sein das der Benutzer in dem Shop direkt eingeloggt wird und nicht ein 2. mal nach den Logindaten gefragt wird.

Es würde ja eine Möglichkeit geben ein verstecktes Formular mit Benutzername und Kennwort auf der Website zu hinterlegen welches über einen Link ausgelöst und per action direkt an den Shop gesendet wird und somit der Benutzer eingeloggt ist.

Dieser Weg wäre natürlich äußerst unsicher da im Quelltext und somit im Browsercache der Benutzername und das zugehörige Kennwort enthalten ist.

Nun gäbe es ja noch die Möglichkeit per Javascript das Kennwort in das versteckte Formular nachzuladen.

Grundlegend würde ich nun gern wissen ob das nachladen z.B. auch per Ajax sicher funktioniert bzw. das zurückgegebene Kennwort vertrauenswürdig behandelt wird, also nicht irgendwo im nachhinein im browsercache hängt?

Vielleicht hat ja auch schonmal jemand das ganze gebaut und kann mir Tipps geben. Oder gibt es eine Andere Lösung für das Problem?

Danke schonmal.

Gruß Mike

[jahlives]

Ich denke am sichersten wäre es wenn beide Server auf dieselbe MySql DB zugreifen würden. Speichere nach dem Login (Server A) die Session ID in der DB und übergib die Session ID im Link an Server B.
Server B prüft anhand der Session ID ob diese auch einem User zugeordnet ist und gibt im Erfolgsfall die Seite frei. Ansonsten knallt ihm Server B nochmals den Login vor'n Latz.

Zu deiner Frage noch kurz: Alles was du an den Client übermittelst landet auch in dessen Cache. Ob jetzt Plain HTML, JS oder AJAX macht keinen Unterschied. Einzig ist es bei einer Ajaxlösung etwas schwieriger an diese Daten zu kommen

Gruss

tobi