複数サイト間でログイン情報の共有

Question

既存WebサイトからSPAを使用したサイトへ移行を考えております。

一時的に既存WebサイトのページとSPAで作ったページを共存させたいのですが、ログインは既存サイトのみで行い認証情報をSPAの方と共有したいです。

既存Webサイトのログイン情報を別サイトに渡すことは可能なのでしょうか？
また可能であればどのように行うのか教えていただきたいです。

※外部認証サービスの使用は考えておらず、可能であれば既存の認証情報を使いたいと考えています。

Answer 1

既存Webサイトのログイン情報を別サイトに渡すことは可能なのでしょうか？

SSOですね。

外部認証サービスの使用は考えておらず

とのことなので、ログイン情報を別サイトに渡すというよりは、ユーザーログイン情報を１つのDBで一元管理します。
そのユーザーログイン情報を複数サービス（今回の例でいうと、既存WebサイトとSPA）で参照する形になります。

既存Webサイトでログインしていれば、SPAにアクセスしたときにログインできている状態にしたい、
ということでしたら、既存Webサイトの認証ロジックと同じものをSPAでも実装すれば良いと思います。

秘密鍵の方式とsessionもしくはcookieまたはklocalstrageがカギかなーと思います。

やり方は色々ありますが、

一時的に既存WebサイトのページとSPAで作ったページを共存

とのことなので、サーバーは３つあると仮定して話すと、

・既存WebサイトとSPAのwebサーバー
・APIサーバー
・DBサーバー

・既存WebサイトとSPAでユーザー情報をリクエストします。
・ユーザー情報をを受け取ったAPIサーバーはDBサーバーに問い合わせます。
・ユーザー情報があればAPIサーバーはtokenを既存WebサイトとSPAにレスポンスします。
・端末側でこのtokenを保持しておきます。
・以降、このtokenを元に、APIサーバーに認証を行う。

APIサーバー立てた方が良いかと思いますが、こんなフローだと思いまっす。

Comments

[退会済みユーザー]

別にAPIサーバー立てなくて良いですが、ロジックの一元化のためです。
複数サービスからはユーザー情報渡せば良いだけになるので、認証ロジックに差異が生じず保守性を保てます。

githubの秘密鍵なんかもそうですよね。
github上に登録している秘密鍵を持っている端末からなら、自宅PCだろうが職場PCからだろうがgit cloneできますよね。

[mmjd]

ご回答ありがとうございます。

>既存WebサイトとSPAでユーザー情報をリクエストします。
既存WebサイトとSPAでID, PWなどを使って別々にログインを行うということでしょうか？

[退会済みユーザー]

それは仕様によります。
どちらかでログイン済みであれば、どちらかは認証不要という方向性でいきたいのか。
どちらかでログインしてても、常にどちらかでログインを行う方向性でいくのか。

仕組みを理解することが近道だと思います。
https://qiita.com/TakahikoKawasaki/items/e37caf50776e00e733be

APIサーバーって言いましたけど認証サーバーと同義です。

[mmjd]

ご回答ありがとうございます
・どちらかでログイン済み(既存サイトにしかログイン画面はない)であれば、どちらかは認証不要という方向性でいきたい
・SPAでも既存サイトで認証したユーザ権限によって画面制御したい
・SPAでAPI認証は既存DBに項目追加して別の仕組みを作成
したいけどどうやって？

という質問でした

Answer 2

別々のサーバで動作しているアプリの認証を一元化したいという話であれば、使用されている言語やフレームワークなどで SingleSignOn の実装方法について調べればいくつか事例が出てくると思います。

確立されている方式は このあたり をご参考にしていただければ。

もっと具体的な回答を得たい場合は、どの方式で実現したいかを追記した上で実行環境（Cloudサービスを利用している場合はサービス名）、サーバ側で使用している言語等の必要な情報も出していただく必要があります。

Comments

[Y.H.]

ドメインは単一ドメイン(サブドメイン含む)でしょうか？

[mmjd]

単一ドメイン(サブドメイン含む)です