京东SSO单点登陆实现分析

京东的sso流程：

初始访问状态：

cookies：

http请求：

1.在首页点击登陆，跳转至passport.360buy.com,给予验证cookie alc(可以试试在提交登陆信息前删除该cookie)

http请求

2.填写用户名密码，提交登陆，验证alc，登陆成功则给予sso的cookie ceshi3.com，跳转至首页

cookies：

3.首页异步ajax，向passport.360buy.com发起hello请求，hello请求返回json对象a,a包含sso(url地址数组，含请求参数)

http请求：

发起hello请求的脚本如下：

点击(此处)折叠或打开

<script type="text/javascript">
(function ($) {
$("#shortcut .menu").Jdropdown({ delay: 50 });
var helloUrl = window.location.protocol + "//passport.360buy.com/new/helloService.ashx?m=ls";
jQuery.ajax({ url: helloUrl,
dataType: "jsonp",
scriptCharset: "gb2312",
success: function (a) {
//if (a && a.info) { $("#loginbar").html(a.info); }
if (a && a.sso) {
$.each(a.sso, function () { $.getJSON(this) })
}
}
});
}
)(jQuery);</script>

【以上这段是在登出页发现的，京东首页实际使用的是压缩过的，来自http://misc.360buyimg.com/lib/js/2012/lib-v1.js?t=20121204的脚本,两者相同】

a.sso的内容

"http://sso.360buy.com/setCookie?t=sso.360top.com&callback=?"

"http://sso.360buy.com/setCookie?t=sso.minitiao.com&callback=?"

"http://sso.360buy.com/setCookie?t=sso.ehaoyao.com&callback=?"

"http://sso.360buy.com/setCookie?t=sso.jcloud.com&callback=?"

"http://sso.360buy.com/setCookie?t=sso.qianxun.com&callback=?"

4.客户端回调函数，遍历a.sso，逐个发起getjson 请求(此时请求目标还是在同一个主域名下,firebug网络面板中setcookie系列请求，如下图)，

相关代码： $.each(a.sso, function () { $.getJSON(this) })

http请求：

5.setcookie系列请求，各自响应一个与setcookie所接受的t参数相应域名的jsonp请求地址(即是接下来的跨域请求),并包含统一的一个c参数

*5到6的衔接，猜测是setcookie的响应同时触发了sign系列的请求，那必须返回一个js代码片段，发起getjson请求。

6.客户端发起sign系列请求，包含c参数，跨主域名请求，响应即为设置ceshi3.com cookie

http://sso.360top.com/sign? c=6d324d99805593c4aac6abfdd17e67399d73......54763628040

http://sso.minitiao.com/sign?c=6d324d99805593c4aac6abfdd17e67399d73......54763628040

http://sso.jcloud.com/sign? c=6d324d99805593c4aac6abfdd17e67399d73......54763613889

http://sso.ehaoyao.com/sign? c=6d324d99805593c4aac6abfdd17e67399d73......54763613889

http://sso.qianxun.com/sign? c=6d324d99805593c4aac6abfdd17e67399d73......54763613890

(上面省略的部分包含了类似“48bd&callback=jsonp1354763638164&_=1354763638814&t=1354763”)

7.所有京东涉及登陆信息的页面，可对ceshi3.com cookie进行解析，以此作为登陆凭证。

**可以验证一下

登陆京东后，打开京东奢侈品(360top)，删除cookie ceshi3.com 刷新后显示未登陆，再打开京东迷你挑(此时又同步了一次cookie)，再回京东奢侈品(360top)，刷新后依旧是登陆状态。(迷你挑测试中偶尔会有问题，可以换一个京东产品试试)

8.退出时，跳转到登出页面，JS发起getjson请求，删除所有cookie

京东登出页上找到以下代码

点击(此处)折叠或打开

<script type="text/javascript">
jQuery.getJSON("http://sso.360top.com" + "/exit?callback=?");
jQuery.getJSON("http://sso.qianxun.com" + "/exit?callback=?");
jQuery.getJSON("http://sso.ehaoyao.com" + "/exit?callback=?");
jQuery.getJSON("http://sso.360buy.com" + "/exit?callback=?");
jQuery.getJSON("http://sso.minitiao.com" + "/exit?callback=?");
jQuery.getJSON("http://sso.jcloud.com" + "/exit?callback=?");
</script>

总结,整体的关键在于360buy.com下客户端js发起jsonp跨域请求时，传递的参数c(猜测是对称加密后的数据，与登录凭据cookie ceshi3.com 的值有对应关系)。其他细节都在于服务器端对各系列请求的处理。

如果A域名和B域名(指主域名不同的情况)要共享登陆

B域名下的cookie还是要B自己写的，jsonp的处理就是告诉B，该写个什么值，当然传递过程中最好进行加密(上面的参数c)。当ABCD等等各产品都设置了统一的凭据，那么就完成了“单点登陆”的要求。不过，对这个凭据进行解析的需求也是很重要的，这里倒未提及。因为涉及到ceshi3.com这个cookie里信息的具体内容，这个验证过程也只有京东的开发人员才知道了。

http://blog.chinaunix.net/uid-25508399-id-3431705.html

京东SSO单点登陆实现分析相关推荐

IM开发基础知识补课：正确理解前置HTTP SSO单点登陆接口的原理
1.前言一个安全的信息系统,合法身份检查是必须环节.尤其IM这种以"人"为中心的社交体系,身份认证更是必不可少. 一些PC时代小型IM系统中,身份认证可能直接做到长连接中(也就是 ...
IM开发基础知识补课(一)：正确理解前置HTTP SSO单点登陆接口的原理
1.前言一个安全的信息系统,合法身份检查是必须环节.尤其IM这种以"人"为中心的社交体系,身份认证更是必不可少. 一些PC时代小型IM系统中,身份认证可能直接做到长连接中(也就是 ...
Lind.DDD.SSO单点登陆组件的使用(原创)
回到目录一般sso的说明在Lind.DDD框架里,有对单点登陆的集成,原理就是各个网站去sso网站统一登陆授权,之后在sso网站将登陆的token进行存储,存储方式随你(cache,redis,m ...
开源sso单点登陆系统推荐
一.CAS 地址https://www.apereo.org/projects/cas CAS是Central Authentication Service的缩写,中央认证服务,一种独立开放指令协 ...
sso单点登陆实现过程汇总记录
前言在早期,项目规模不大的时候,企业中存在的系统不多,通常为1或者2个.每个系统都有自己独立的登陆模块,这样用户进行登陆也不是特别麻烦,分别进行登陆就可以了.但是随着企业规模不断变大,随之而然的系统 ...
企业内部应用(阿里商旅)集成钉钉与微信实现SSO单点登陆
1.钉钉准备工作 (1) 创建应用 https://open-dev.dingtalk.com/fe/app#/corp/app (2)获取应用凭证记录 AgentId AppKey AppSecr ...
简单入门SSO单点登陆——认证服务
SSO在我们的应用中非常常见,例如我们在OA系统登录了,我们就可以直接进入采购系统,不需要再登录了,这样使我们非常方便.现在网上也有很多实现方法,于是乎我也想写一个看看.我主要用到的是cookie的机 ...
带你快速了解SSO单点登陆
引入定义:在多个应用系统中共享登录.撤销状态这里说的多个应用系统其实指的不同的域同源(同一个域):域名.端口.协议均相同举例:淘宝(www.taobao.com)和天猫(www.tmall.c ...
SSO单点登录、跨域重定向、跨域设置Cookie、京东单点登录实例分析
最近在研究SSO单点登录技术,其中有一种就是通过js的跨域设置cookie来达到单点登录目的的,下面就已京东商城为例来解释下跨域设置cookie的过程涉及的关键知识点: 1.jQuery ajax跨 ...

京东SSO单点登陆实现分析

京东SSO单点登陆实现分析相关推荐

最新文章

热门文章