2. 程式人生 > >單點登入（SSO）原理

單點登入（SSO）原理

阿新 • • 發佈：2019-02-05

一、單系統登入機制

1、http無狀態協議

　　web應用採用browser/server架構，http作為通訊協議。http是無狀態協議，瀏覽器的每一次請求，伺服器會獨立處理，不與之前或之後的請求產生關聯，這個過程用下圖說明，三次請求/響應對之間沒有任何聯絡

3c91a3bf-25d8-4b1f-8e4a-68535c51aaa8

　　但這也同時意味著，任何使用者都能通過瀏覽器訪問伺服器資源，如果想保護伺服器的某些資源，必須限制瀏覽器請求；要限制瀏覽器請求，必須鑑別瀏覽器請求，響應合法請求，忽略非法請求；要鑑別瀏覽器請求，必須清楚瀏覽器請求狀態。既然http協議無狀態，那就讓伺服器和瀏覽器共同維護一個狀態吧！這就是會話機制

2、會話機制

　　瀏覽器第一次請求伺服器，伺服器建立一個會話，並將會話的id作為響應的一部分發送給瀏覽器，瀏覽器儲存會話id，並在後續第二次和第三次請求中帶上會話id，伺服器取得請求中的會話id就知道是不是同一個使用者了，這個過程用下圖說明，後續請求與第一次請求產生了關聯

8a9fb230-d506-4b19-b821-4001c68c4588

　　伺服器在記憶體中儲存會話物件，瀏覽器怎麼儲存會話id呢？你可能會想到兩種方式

  1. 請求引數
  2. cookie

　　將會話id作為每一個請求的引數，伺服器接收請求自然能解析引數獲得會話id，並藉此判斷是否來自同一會話，很明顯，這種方式不靠譜。那就瀏覽器自己來維護這個會話id吧，每次傳送http請求時瀏覽器自動傳送會話id，cookie機制正好用來做這件事。cookie是瀏覽器用來儲存少量資料的一種機制，資料以”key/value“形式儲存，瀏覽器傳送http請求時自動附帶cookie資訊

　　tomcat會話機制當然也實現了cookie，訪問tomcat伺服器時，瀏覽器中可以看到一個名為“JSESSIONID”的cookie，這就是tomcat會話機制維護的會話id，使用了cookie的請求響應過程如下圖

518293d9-64b2-459c-9d45-9f353c757d1f

3、登入狀態

　　有了會話機制，登入狀態就好明白了，我們假設瀏覽器第一次請求伺服器需要輸入使用者名稱與密碼驗證身份，伺服器拿到使用者名稱密碼去資料庫比對，正確的話說明當前持有這個會話的使用者是合法使用者，應該將這個會話標記為“已授權”或者“已登入”等等之類的狀態，既然是會話的狀態，自然要儲存在會話物件中，tomcat在會話物件中設定登入狀態如下

1

2

HttpSession session = request.getSession();

session.setAttribute("isLogin", true);

　　使用者再次訪問時，tomcat在會話物件中檢視登入狀態

1

2

HttpSession session = request.getSession();

session.getAttribute("isLogin");

　　實現了登入狀態的瀏覽器請求伺服器模型如下圖描述

70e396fa-1bf2-42f8-a504-ce20306e31fa

　　每次請求受保護資源時都會檢查會話物件中的登入狀態，只有 isLogin=true 的會話才能訪問，登入機制因此而實現。

二、多系統的複雜性

　　web系統早已從久遠的單系統發展成為如今由多系統組成的應用群，面對如此眾多的系統，使用者難道要一個一個登入、然後一個一個登出嗎？就像下圖描述的這樣

6dfbb0b1-46c0-4945-a3bf-5f060fa80710

　　web系統由單系統發展成多系統組成的應用群，複雜性應該由系統內部承擔，而不是使用者。無論web系統內部多麼複雜，對使用者而言，都是一個統一的整體，也就是說，使用者訪問web系統的整個應用群與訪問單個系統一樣，登入/登出只要一次就夠了

9fe14ab3-4254-447b-b850-0436e628c254

　　雖然單系統的登入解決方案很完美，但對於多系統應用群已經不再適用了，為什麼呢？

　　單系統登入解決方案的核心是cookie，cookie攜帶會話id在瀏覽器與伺服器之間維護會話狀態。但cookie是有限制的，這個限制就是cookie的域（通常對應網站的域名），瀏覽器傳送http請求時會自動攜帶與該域匹配的cookie，而不是所有cookie

4d58ccfa-0114-486d-bec2-c28f2f9eb513

　　既然這樣，為什麼不將web應用群中所有子系統的域名統一在一個頂級域名下，例如“*.baidu.com”，然後將它們的cookie域設定為“baidu.com”，這種做法理論上是可以的，甚至早期很多多系統登入就採用這種同域名共享cookie的方式。

　　然而，可行並不代表好，共享cookie的方式存在眾多侷限。首先，應用群域名得統一；其次，應用群各系統使用的技術（至少是web伺服器）要相同，不然cookie的key值（tomcat為JSESSIONID）不同，無法維持會話，共享cookie的方式是無法實現跨語言技術平臺登入的，比如java、php、.net系統之間；第三，cookie本身不安全。

　　因此，我們需要一種全新的登入方式來實現多系統應用群的登入，這就是單點登入

三、單點登入

　　什麼是單點登入？單點登入全稱Single Sign On（以下簡稱SSO），是指在多系統應用群中登入一個系統，便可在其他所有系統中得到授權而無需再次登入，包括單點登入與單點登出兩部分

1、登入

　　相比於單系統登入，sso需要一個獨立的認證中心，只有認證中心能接受使用者的使用者名稱密碼等安全資訊，其他系統不提供登入入口，只接受認證中心的間接授權。間接授權通過令牌實現，sso認證中心驗證使用者的使用者名稱密碼沒問題，建立授權令牌，在接下來的跳轉過程中，授權令牌作為引數傳送給各個子系統，子系統拿到令牌，即得到了授權，可以藉此建立區域性會話，區域性會話登入方式與單系統的登入方式相同。這個過程，也就是單點登入的原理，用下圖說明

　　下面對上圖簡要描述

  1. 使用者訪問系統1的受保護資源，系統1發現使用者未登入，跳轉至sso認證中心，並將自己的地址作為引數
  2. sso認證中心發現使用者未登入，將使用者引導至登入頁面
  3. 使用者輸入使用者名稱密碼提交登入申請
  4. sso認證中心校驗使用者資訊，建立使用者與sso認證中心之間的會話，稱為全域性會話，同時建立授權令牌
  5. sso認證中心帶著令牌跳轉會最初的請求地址（系統1）
  6. 系統1拿到令牌，去sso認證中心校驗令牌是否有效
  7. sso認證中心校驗令牌，返回有效，註冊系統1
  8. 系統1使用該令牌建立與使用者的會話，稱為區域性會話，返回受保護資源
  9. 使用者訪問系統2的受保護資源
  10. 系統2發現使用者未登入，跳轉至sso認證中心，並將自己的地址作為引數
  11. sso認證中心發現使用者已登入，跳轉回系統2的地址，並附上令牌
  12. 系統2拿到令牌，去sso認證中心校驗令牌是否有效
  13. sso認證中心校驗令牌，返回有效，註冊系統2
  14. 系統2使用該令牌建立與使用者的區域性會話，返回受保護資源

　　使用者登入成功之後，會與sso認證中心及各個子系統建立會話，使用者與sso認證中心建立的會話稱為全域性會話，使用者與各個子系統建立的會話稱為區域性會話，區域性會話建立之後，使用者訪問子系統受保護資源將不再通過sso認證中心，全域性會話與區域性會話有如下約束關係

  1. 區域性會話存在，全域性會話一定存在
  2. 全域性會話存在，區域性會話不一定存在
  3. 全域性會話銷燬，區域性會話必須銷燬

　　你可以通過部落格園、百度、csdn、淘寶等網站的登入過程加深對單點登入的理解，注意觀察登入過程中的跳轉url與引數

2、登出

　　單點登入自然也要單點登出，在一個子系統中登出，所有子系統的會話都將被銷燬，用下面的圖來說明

3b139d2e-0b83-4a69-b4f2-316adb8997ce

　　sso認證中心一直監聽全域性會話的狀態，一旦全域性會話銷燬，監聽器將通知所有註冊系統執行登出操作

　　下面對上圖簡要說明

  1. 使用者向系統1發起登出請求
  2. 系統1根據使用者與系統1建立的會話id拿到令牌，向sso認證中心發起登出請求
  3. sso認證中心校驗令牌有效，銷燬全域性會話，同時取出所有用此令牌註冊的系統地址
  4. sso認證中心向所有註冊系統發起登出請求
  5. 各註冊系統接收sso認證中心的登出請求，銷燬區域性會話
  6. sso認證中心引導使用者至登入頁面

四、部署圖

　　單點登入涉及sso認證中心與眾子系統，子系統與sso認證中心需要通訊以交換令牌、校驗令牌及發起登出請求，因而子系統必須整合sso的客戶端，sso認證中心則是sso服務端，整個單點登入過程實質是sso客戶端與服務端通訊的過程，用下圖描述

fb29685c-487c-42b9-9ceb-6c7ee29e98c9

　　sso認證中心與sso客戶端通訊方式有多種，這裡以簡單好用的httpClient為例，web service、rpc、restful api都可以

五、實現

　　只是簡要介紹下基於java的實現過程，不提供完整原始碼，明白了原理，我相信你們可以自己實現。sso採用客戶端/服務端架構，我們先看sso-client與sso-server要實現的功能（下面：sso認證中心=sso-server）

　　sso-client

  1. 攔截子系統未登入使用者請求，跳轉至sso認證中心
  2. 接收並存儲sso認證中心傳送的令牌
  3. 與sso-server通訊，校驗令牌的有效性
  4. 建立區域性會話
  5. 攔截使用者登出請求，向sso認證中心傳送登出請求
  6. 接收sso認證中心發出的登出請求，銷燬區域性會話

　　sso-server

  1. 驗證使用者的登入資訊
  2. 建立全域性會話
  3. 建立授權令牌
  4. 與sso-client通訊傳送令牌
  5. 校驗sso-client令牌有效性
  6. 系統註冊
  7. 接收sso-client登出請求，登出所有會話

　　接下來，我們按照原理來一步步實現sso吧！

1、sso-client攔截未登入請求

　　java攔截請求的方式有servlet、filter、listener三種方式，我們採用filter。在sso-client中新建LoginFilter.java類並實現Filter介面，在doFilter()方法中加入對未登入使用者的攔截

1

2

3

4

5

6

7

8

9

10

11

12

public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {

HttpServletRequest req = (HttpServletRequest) request;

HttpServletResponse res = (HttpServletResponse) response;

HttpSession session = req.getSession();

if (session.getAttribute("isLogin")) {

chain.doFilter(request, response);

return;

}

//跳轉至sso認證中心

res.sendRedirect("sso-server-url-with-system-url");

}

2、sso-server攔截未登入請求

　　攔截從sso-client跳轉至sso認證中心的未登入請求，跳轉至登入頁面，這個過程與sso-client完全一樣

3、sso-server驗證使用者登入資訊

　　使用者在登入頁面輸入使用者名稱密碼，請求登入，sso認證中心校驗使用者資訊，校驗成功，將會話狀態標記為“已登入”

1

2

3

4

5

6

@RequestMapping("/login")

public String login(String username, String password, HttpServletRequest req) {

this.checkLoginInfo(username, password);

req.getSession().setAttribute("isLogin", true);

return "success";

}

4、sso-server建立授權令牌

　　授權令牌是一串隨機字元，以什麼樣的方式生成都沒有關係，只要不重複、不易偽造即可，下面是一個例子

1

String token = UUID.randomUUID().toString();

5、sso-client取得令牌並校驗

　　sso認證中心登入後，跳轉回子系統並附上令牌，子系統（sso-client）取得令牌，然後去sso認證中心校驗，在LoginFilter.java的doFilter()中新增幾行

1

2

3

4

5

6

7

8

9

10

11

// 請求附帶token引數

String token = req.getParameter("token");

if (token != null) {

// 去sso認證中心校驗token

boolean verifyResult = this.verify("sso-server-verify-url", token);

if (!verifyResult) {

res.sendRedirect("sso-server-url");

return;

}

chain.doFilter(request, response);

}

　　verify()方法使用httpClient實現，這裡僅簡略介紹，httpClient詳細使用方法請參考官方文件

1

2

HttpPost httpPost = new HttpPost("sso-server-verify-url-with-token");

HttpResponse httpResponse = httpClient.execute(httpPost);

6、sso-server接收並處理校驗令牌請求

　　使用者在sso認證中心登入成功後，sso-server建立授權令牌並存儲該令牌，所以，sso-server對令牌的校驗就是去查詢這個令牌是否存在以及是否過期，令牌校驗成功後sso-server將傳送校驗請求的系統註冊到sso認證中心（就是儲存起來的意思）

　　令牌與註冊系統地址通常儲存在key-value資料庫（如redis）中，redis可以為key設定有效時間也就是令牌的有效期。redis執行在記憶體中，速度非常快，正好sso-server不需要持久化任何資料。

　　令牌與註冊系統地址可以用下圖描述的結構儲存在redis中，可能你會問，為什麼要儲存這些系統的地址？如果不儲存，登出的時候就麻煩了，使用者向sso認證中心提交登出請求，sso認證中心登出全域性會話，但不知道哪些系統用此全域性會話建立了自己的區域性會話，也不知道要向哪些子系統傳送登出請求登出區域性會話

3b221593-f9c4-45af-a567-4937786993e8

7、sso-client校驗令牌成功建立區域性會話

　　令牌校驗成功後，sso-client將當前區域性會話標記為“已登入”，修改LoginFilter.java，新增幾行

1

2

3

if (verifyResult) {

session.setAttribute("isLogin", true);

}

　　sso-client還需將當前會話id與令牌繫結，表示這個會話的登入狀態與令牌相關，此關係可以用java的hashmap儲存，儲存的資料用來處理sso認證中心發來的登出請求

8、登出過程

　　使用者向子系統傳送帶有“logout”引數的請求（登出請求），sso-client攔截器攔截該請求，向sso認證中心發起登出請求

1

2

3

4

String logout = req.getParameter("logout");

if (logout != null) {

this.ssoServer.logout(token);

}

　　sso認證中心也用同樣的方式識別出sso-client的請求是登出請求（帶有“logout”引數），sso認證中心登出全域性會話

1

2

3

4

5

6

7

8

@RequestMapping("/logout")

public String logout(HttpServletRequest req) {

HttpSession session = req.getSession();

if (session != null) {

session.invalidate();//觸發LogoutListener

}

return "redirect:/";

}

　　sso認證中心有一個全域性會話的監聽器，一旦全域性會話登出，將通知所有註冊系統登出

1

2

3

4

5

6

7

8

public class LogoutListener implements HttpSessionListener {

@Override

public void sessionCreated(HttpSessionEvent event) {}

@Override

public void sessionDestroyed(HttpSessionEvent event) {

//通過httpClient向所有註冊系統傳送登出請求

}

}

（完）

相關推薦

單點登入（SSO）原理

一、單系統登入機制 1、http無狀態協議 　　web應用採用browser/server架構，http作為通訊協議。http是無狀態協議，瀏覽器的每一次請求，伺服器會獨立處理，不與之前或之後的請求產生關聯，這個過程用下圖說明，三次請求/響應對之間沒有任何聯絡 　　

SSO 基於Cookie+fliter實現單點登入（SSO）：工作原理

SSO的概念：        單點登入SSO（Single Sign-On）是身份管理中的一部分。SSO的一種較為通俗的定義是：SSO是指訪問同一伺服器不同應用中的受保護資源的同一使用者，只需要登入

單點登入（SSO）的自己看資料的一點理解

主要是學習了這篇微博：https://www.cnblogs.com/EzrealLiu/p/5559255.html 這篇文章在方案3和方案4中講解的個人有點不理解，加了一點自己的理解 原文 1.U第一次訪問W，W驗證失敗，跳轉至SSO要求U進行登入驗證； 登入並使各不同Do

CAS實現單點登入（SSO）

什麼是單點登入 單點登入（Single Sign On），簡稱為 SSO，是目前比較流行的企業業務整合的解決方案之一。SSO的定義是在多個應用系統中，使用者只需要登入一次就可以訪問所有相互信任的應用系統。 我們目前的系統存在諸多子系統，而這些子系統是分別部署在不

CAS實現單點登入（sso）搭建流程 伺服器端搭建

一、簡介 1、cas是有耶魯大學研發的單點登入伺服器 2、所用環境 ·        Linux系統 ·        To

漫談單點登入（SSO）

1. 摘要（ 注意：請仔細看下摘要，留心此文是否是您的菜，若浪費寶貴時間，深感歉意！！！）SSO這一概念由來已久，網路上對應不同場景的成熟SSO解決方案比比皆是，從簡單到複雜，各式各樣應有盡有！開源的有OpenSSO、CAS ，微軟的AD SSO，及基於kerberos 的S

如何實現與Teamcenter PLM單點登入（SSO）

前言 結合青銅器RDM與西門子Teamcenter單點登入，詳細講解如何實現與C/S客戶端模式的Teamcenter單點登入。 需求 青銅器RDM作為統一登入平臺，使用者登入青銅器RDM以後，無需再次輸入賬號密碼，點選某一選單即可進入TeamCenter系統 約束條件 1

單點登入（SSO）實現方式（附原始碼）

原文地址：http://www.cnblogs.com/youring2/p/sso-practice.html SSO的基本概念 SSO英文全稱Single Sign On（單點登入）。SSO是在多個應用系統中，使用者只需要登入一次就可以訪問所有相互信任的應用系統

CAS單點登入（SSO）介紹及部署

介紹 CAS CAS 是Yale（耶魯）大學的一個開源的企業級單點登入系統，它的特點： Java (Spring Webflow/Spring Boot) 服務元件 可插拔身份驗證支援（LDAP，Database，X.509，MFA） 支援多種協議

深入淺出單點登入（SSO）

1. 摘要 （ 注意：請仔細看下摘要，留心此文是否是您的菜，若浪費寶貴時間，深感歉意！！！） SSO這一概念由來已久，也是相當普遍的一種身份驗證設計，網路上對應不同場景的SSO解決方案比比皆是，從簡單到複雜、安全等級的步步攀升，可謂百花爭豔！如：開源的有OpenSSO

手把手教你如何玩轉單點登入（SSO）

情景引入 小白：起床起床起床。。。。。。快起床 我：怎麼怎麼了。。。又怎麼了？ 小白：最近，我發現了一個奇怪的事情~！ 我：說收，什麼奇怪的事情了呢？ 小白：我前些天，我逛了逛新浪部落格，然後看了看裡面的內容，感覺還挺不錯的。可是，關鍵讓我覺得不可思議

最簡單的web單點登入（SSO）

Fay Sso （單點登入如此的簡單，本示例支援IE9+，IE8也可以實現） 執行示例程式碼需要安裝node.js環境 Test 讓我們直接先來測試這個例子，然後看下我實現的想法，你會發現它是如此的簡單！

單點登入（sso）需求文件

前言 編寫此需求文件，一方面是對sso系統實現的明確，另一方面也作為進一步詳細設計軟體的基礎。 本文件包含以下幾個部分: 系統概要 Sso設計流程 系統概要        隨著時代的發展，公司的Server慢慢開始變多。如果每個server都要進行註冊登入，退出的

web api 單點登入（SSO） 許可權驗證

分站程式碼： using System;using System.Collections.Generic;using System.Linq;using System.Text.RegularExpressions;using System.Web;using System.Web.Mvc;usin

誰都能看懂的單點登入（SSO）實現方式（附原始碼）

SSO的基本概念 SSO英文全稱Single Sign On（單點登入）。SSO是在多個應用系統中，使用者只需要登入一次就可以訪問所有相互信任的應用系統。它包括可以將這次主要的登入對映到其他應用中用於同一個使用者的登入的機制。它是目前比較流行的企業業務整合的解決方案之一

關於 WebSphere Portal, Domino 擴充套件產品以及Domino 單點登入（SSO）的疑難解答

索引： I. 每個產品的正確測試方法 II. 關於這三個產品的常規設定和配置 III. 對於 QuickPlace 伺服器的其他步驟 IV. 對於 Sametime 伺服器的其他步驟 V. 當 Portal 與 QuickPlace，Sametime 或 Domino 使用不同目錄時需要的其他步驟 VI. 其

基於CAS實現單點登入（SSO）：CAS+LDAP實現單點登入認證

[一]、概述 CAS是N個系統的中心認證入口，而貫穿多個系統的使用者資訊是共用的，應該被單獨維護，而這些資訊可能屬於不用的系統，不用的組織，不用的國家，從而形成了樹形結構，而使用關係型資料庫維護樹形結構資訊是它的弱點，這就是本文CAS和LDAP整合的初衷。 本來主要

單點登入-基於Redis+MySQL實現單點登入（SSO）

1. 為什麼要用單獨登入？ 主要便於公司內部多系統統一認證授權管理，一次登入可訪問多個跨域系統，也同時更加方便統一管理使用者登入

用 Authing 10分鐘實現單點登入（SSO）

單點登入（Single Sign On），簡稱為SSO，是目前比較流行的企業業務整合的解決方案之一。 SSO的定義是在多個應用系統

單點登入（SSO）解決方案介紹

一、單點登入的介紹 單點登入（Single Sign On），簡稱為 SSO，是目前比較流行的企業業務整合的解決方案之一。SSO的定義是在多個應用系統中，使用者只需要登入一次就可以訪問所有相互信任的應用系統。 例如：百度旗下有很多的產品，比如百度貼吧、百度知道、百度文庫等，只要登入百度賬號，在任何一個地方都是