autologin jquery ajax

[claudiopt]

E' possibile fare un autologin utilizzando jquery ajax su una pagina web dove esiste il form classico tipo quello sotto indicato?

<form name="loginForm" method="post" action="https://sito/j_security_check" onsubmit="this.login.disabled=true;">
<label for="nome_utente_ar">Nome utente:</label>
<input type="text" class="nome" name="j_username" id="nome_utente" maxlength="20" />

<label for="password">Password:</label>
<input type="password" name="j_password" class="pwd" id="password" />

<input class="bottone" type="submit" value="Accedi" />
</form>

[cavicchiandrea]

Se il sito esterno non fornisce API (tipo facebook o twitter) o non sei amministratore, non è possibile fare l'autologin (per fortuna)

[lucavizzi]

Potresti provare a fare una chiamata post, con un linguaggio lato-server, tipo PHP, sull'url indicato dall'action, passando i parametri richiesti, desumibili dal form.

[cavicchiandrea]

Potresti provare a fare una chiamata post, con un linguaggio lato-server, tipo PHP, sull'url indicato dall'action, passando i parametri richiesti, desumibili dal form.

Con un protocollo https spero che non funzioni

[lucavizzi]

Con un protocollo https spero che non funzioni

Con un https non mi è mai capitato di provare. Devi avere comunque delle credenziali valide per eseguire il login, non è una vera e propria "violazione".

[cavicchiandrea]

Con un https non mi è mai capitato di provare. Devi avere comunque delle credenziali valide per eseguire il login, non è una vera e propria "violazione".

No vero, ma neanche ammesso, perché se voglio autorizzare il login esterno fornisco le API (vedi social network) e comunque se non ricordo male non è possibile

[lucavizzi]

No vero, ma neanche ammesso, perché se voglio autorizzare il login esterno fornisco le API (vedi social network) e comunque se non ricordo male non è possibile

Spesso non è possibile nemmeno su http, basta settare una sessione quando si visualizza il form per evitare questo tipo di accessi.

[cassano]

Bè la sessione si può gestire lato server.

[U235]

Bè la sessione si può gestire lato server.

A patto che gestisca anche l'eventuale sistema ssl... in questo caso parliamo di MitM, e di solito non è legale.

@claudiopt

Potresti dirci di più? è "tuo" il sistema che accetta il login? perché se stiamo parlando di "altro sito" (non tuo) non lo puoi fare (sopratutto non LEGALMENTE) anche perché potrebbero aver attivato sistemi di protezione da questo genere di cose.
Diversamente non vedo grossi problemi di sorta.
Puoi fare una chiamata POST passando i parametri che si aspetta la pagina che riceve il form (non necessariamente la pagina che lo contiene). Cosa non riesci a fare?

[lucavizzi]

Bè la sessione si può gestire lato server.

Il linguaggio lato server può settare sessioni solo sul server su cui gira, non può settarle sul server oggetto della chiamata post (non con tecniche white-hat almeno), e anche se si potesse settare in maniera semplice una sessione sull'altro server, dovresti sapere che nome e che valore assegnarle.