security - 记住我具有特定服务器拓扑的功能

Question

我正在为我们产品的客户实现“记住我”功能，但我有点坚持。这里我们有：

• 3个独立的服务器，彼此不通信。
• 需要“记住我”功能并在登录时重定向到 3 个服务器之一的客户端。
• 该重定向用户的实例对身份验证或用户凭据一无所知。

那么，请您给我一些关于如何在我的案例中实施“记住我”的指导吗？将密码存储在 cookie 中是可以接受的，但不可取。

如果您需要有关某事的更多信息，请询问，我会尽力提供。

感谢大家的建议！

Answer 1

这通常是通过让所有三台服务器使用一个通用的会话存储后端来完成的，例如数据库或内存缓存。

如果您无法轻松实现通用会话，您可以调整重定向服务器上的代码，以将它选择重定向到的服务器的服务器 ID 存储在 cookie 中。不要将密码存储在 cookie 中。例如：

    new hit comes in
    if cookie exists:
        forward to the server indicated in cookie
    else:
        pick a random server
        set cookie with the server id you picked
        forward to the server you picked