質問: **「あるドメイン上でログインしただけで別のドメイン上でもログインしたことになる」**という,シングルサインオン認証について調べています. * iframeを使ってクロスドメインでCookieを書き込む[iframe][sso] ここにGoogleが実際にそれで実現しているという言及があるのですが,当該ソースを閲覧してみたり,下に書いてある解説を読んでもなぜこれでシングルサインオンが成立するのかさっぱり分かりませんでした. * 単純に子フレーム内でログインさせる方法を考えると,親フレームのフォームから子フレームに対してIDとパスワードをPOSTする方法が考えられると思うのですが,**CSRFトークンはクロスドメインで取得できない**ため,CSRF対策されている場合にこの方法が成立しないように思えてしまうのです. * 別ドメイン側で「GETパラメータで指定されたセッションIDをセットする」スクリプトを用意してもいいのですが,これもまたCSRF対策と相反している感じがします. Googleはどうやって実現しているのでしょうか?
回答: P3P使えば出来るよ・・・。 やり方載ってるサイトもあるよ・・・。 参考にしてみてね・・・。 http://d.hatena.ne.jp/R-H/20111101 https://en.wikipedia.org/wiki/P3P