什么是单点登录及作用

在程序开发中，特别是网站类开发，会接触到单点登录(SSO)，什么是单点登录？，单点登录(SSO)有什么用？下面软币网小编来来介绍一下：

一、什么是单点登录？

单点登录的英文名叫做：Single Sign On（简称SSO）。

在初学/以前的时候，一般我们就单系统，所有的功能都在同一个系统上。
单点登录(SSO)
单点登录(SSO)

后来，我们为了合理利用资源和降低耦合性，于是把单系统拆分成多个子系统。

回顾：分布式基础知识

单点登录(SSO)
单点登录(SSO) - 舆管家

拆分成多个子系统

比如阿里系的淘宝和天猫，很明显地我们可以知道这是两个系统，但是你在使用的时候，登录了天猫，淘宝也会自动登录。
单点登录(SSO)
单点登录(SSO)

简单来说，单点登录就是在多个系统中，用户只需一次登录，各个系统即可感知该用户已经登录。

二、回顾单系统登录

在我初学JavaWeb的时候，登录和注册是我做得最多的一个功能了（初学Servlet的时候做过、学SpringMVC的时候做过、跟着做项目的时候做过…），反正我也数不清我做了多少次登录和注册的功能了…这里简单讲述一下我们初学时是怎么做登录功能的。

HTTP是无状态的协议

众所周知，HTTP是无状态的协议，这意味着服务器无法确认用户的信息。于是乎，W3C就提出了：给每一个用户都发一个通行证，无论谁访问的时候都需要携带通行证，这样服务器就可以从通行证上确认用户的信息。通行证就是Cookie。

如果说Cookie是检查用户身上的”通行证“来确认用户的身份，那么Session就是通过检查服务器上的”客户明细表“来确认用户的身份的。Session相当于在服务器中建立了一份“客户明细表”。

HTTP协议是无状态的，Session不能依据HTTP连接来判断是否为同一个用户。于是乎：服务器向用户浏览器发送了一个名为JESSIONID的Cookie，它的值是Session的id值。其实Session是依据Cookie来识别是否是同一个用户。

所以，一般我们单系统实现登录会这样做：

登录：将用户信息保存在Session对象中
- 如果在Session对象中能查到，说明已经登录
如果在Session对象中查不到，说明没登录（或者已经退出了登录）
注销（退出登录）：从Session中删除用户的信息
记住我（关闭掉浏览器后，重新打开浏览器还能保持登录状态）：配合Cookie来用

我之前Demo的代码，可以参考一下：

/*** 用户登陆*/
@PostMapping(value = "/user/session", produces = {"application/json;charset=UTF-8"})
public Result login(String mobileNo, String password, String inputCaptcha, HttpSession session, HttpServletResponse response) {//判断验证码是否正确if (WebUtils.validateCaptcha(inputCaptcha, "captcha", session)) {//判断有没有该用户User user = userService.userLogin(mobileNo, password);if (user != null) {/*设置自动登陆，一个星期. 将token保存在数据库中*/String loginToken = WebUtils.md5(new Date().toString() + session.getId());user.setLoginToken(loginToken);User user1 = userService.userUpload(user);session.setAttribute("user", user1);CookieUtil.addCookie(response,"loginToken",loginToken,604800);return ResultUtil.success(user1);} else {return ResultUtil.error(ResultEnum.LOGIN_ERROR);}} else {return ResultUtil.error(ResultEnum.CAPTCHA_ERROR);}
}
/*** 用户退出*/
@DeleteMapping(value = "/session", produces = {"application/json;charset=UTF-8"})
public Result logout(HttpSession session,HttpServletRequest request,HttpServletResponse response ) {//删除session和cookiesession.removeAttribute("user");CookieUtil.clearCookie(request, response, "loginToken");return ResultUtil.success();
}
/**
* @author ozc
* @version 1.0
* <p>
* 拦截器；实现自动登陆功能
*/
public class UserInterceptor implements HandlerInterceptor {
@Autowired
private UserService userService;
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object o) throws Exception {User sessionUser = (User) request.getSession().getAttribute("user");// 已经登陆了，放行if (sessionUser != null) {return true;} else {//得到带过来cookie是否存在String loginToken = CookieUtil.findCookieByName(request, "loginToken");if (StringUtils.isNotBlank(loginToken)) {//到数据库查询有没有该CookieUser user = userService.findUserByLoginToken(loginToken);if (user != null) {request.getSession().setAttribute("user", user);return true;} else {//没有该Cookie与之对应的用户(Cookie不匹配)CookieUtil.clearCookie(request, response, "loginToken");return false;}} else {//没有cookie、也没有登陆。是index请求获取用户信息，可以放行if (request.getRequestURI().contains("session")) {return true;}//没有cookie凭证response.sendRedirect("/login.html");return false;}}
}
}

总结一下上面代码的思路：

用户登录时，验证用户的账户和密码
生成一个Token保存在数据库中，将Token写到Cookie中
将用户数据保存在Session中
请求时都会带上Cookie，检查有没有登录，如果已经登录则放行

Cookie的作用是什么?和Session有什么区别？

Cookie 和 Session都是用来跟踪浏览器用户身份的会话方式，但是两者的应用场景不太一样。

Cookie 一般用来保存用户信息比如①我们在 Cookie 中保存已经登录过得用户信息，下次访问网站的时候页面可以自动帮你登录的一些基本信息给填了；②一般的网站都会有保持登录也就是说下次你再访问网站的时候就不需要重新登录了，这是因为用户登录的时候我们可以存放了一个 Token 在 Cookie 中，下次登录的时候只需要根据 Token 值来查找用户即可(为了安全考虑，重新登录一般要将 Token 重写)；③登录一次网站后访问网站其他页面不需要重新登录。Session 的主要作用就是通过服务端记录用户的状态。典型的场景是购物车，当你要添加商品到购物车的时候，系统不知道是哪个用户操作的，因为 HTTP 协议是无状态的。服务端给特定的用户创建特定的 Session 之后就可以标识这个用户并且跟踪这个用户了。

Cookie 数据保存在客户端(浏览器端)，Session 数据保存在服务器端。

Cookie 存储在客户端中，而Session存储在服务器上，相对来说 Session 安全性更高。如果使用 Cookie 的一些敏感信息不要写入 Cookie 中，最好能将 Cookie 信息加密然后使用到的时候再去服务器端解密。

三、多系统登录的问题与解决

3.1 Session不共享问题

单系统登录功能主要是用Session保存用户信息来实现的，但我们清楚的是：多系统即可能有多个Tomcat，而Session是依赖当前系统的Tomcat，所以系统A的Session和系统B的Session是不共享的。
A的Session和系统B的Session是不共享的
A的Session和系统B的Session是不共享的舆情宝

解决系统之间Session不共享问题有一下几种方案：

Tomcat集群Session全局复制（集群内每个tomcat的session完全同步）【会影响集群的性能呢，不建议】
根据请求的IP进行Hash映射到对应的机器上（这就相当于请求的IP一直会访问同一个服务器）【如果服务器宕机了，会丢失了一大部分Session的数据，不建议】
把Session数据放在Redis中（使用Redis模拟Session）【建议】

我们可以将登录功能单独抽取出来，做成一个子系统。
什么是单点登录(SSO)？单点登录(SSO)到底什么意思？

抽取出来成为子系统

SSO（登录系统）的逻辑如下：

// 登录功能(SSO单独的服务)
@Override
public TaotaoResult login(String username, String password) throws Exception {//根据用户名查询用户信息TbUserExample example = new TbUserExample();Criteria criteria = example.createCriteria();criteria.andUsernameEqualTo(username);List<TbUser> list = userMapper.selectByExample(example);if (null == list || list.isEmpty()) {return TaotaoResult.build(400, "用户不存在");}//核对密码TbUser user = list.get(0);if (!DigestUtils.md5DigestAsHex(password.getBytes()).equals(user.getPassword())) {return TaotaoResult.build(400, "密码错误");}//登录成功，把用户信息写入redis//生成一个用户tokenString token = UUID.randomUUID().toString();jedisCluster.set(USER_TOKEN_KEY + ":" + token, JsonUtils.objectToJson(user));//设置session过期时间jedisCluster.expire(USER_TOKEN_KEY + ":" + token, SESSION_EXPIRE_TIME);return TaotaoResult.ok(token);
}

其他子系统登录时，请求SSO（登录系统）进行登录，将返回的token写到Cookie中，下次访问时则把Cookie带上：

public TaotaoResult login(String username, String password, HttpServletRequest request, HttpServletResponse response) {//请求参数Map<String, String> param = new HashMap<>();param.put("username", username);param.put("password", password);//登录处理String stringResult = HttpClientUtil.doPost(REGISTER_USER_URL + USER_LOGIN_URL, param);TaotaoResult result = TaotaoResult.format(stringResult);//登录出错if (result.getStatus() != 200) {return result;}//登录成功后把取token信息，并写入cookieString token = (String) result.getData();//写入cookieCookieUtils.setCookie(request, response, "TT_TOKEN", token);//返回成功return result;
}

总结：

SSO系统生成一个token，并将用户信息存到Redis中，并设置过期时间
其他系统请求SSO系统进行登录，得到SSO返回的token，写到Cookie中
每次请求时，Cookie都会带上，拦截器得到token，判断是否已经登录

到这里，其实我们会发现其实就两个变化：

将登陆功能抽取为一个系统（SSO），其他系统请求SSO进行登录
本来将用户信息存到Session，现在将用户信息存到Redis

3.2 Cookie跨域的问题

上面我们解决了Session不能共享的问题，但其实还有另一个问题。Cookie是不能跨域的

比如说，我们请求http://www.ibixue.com/时，浏览器会自动把ibixue.com的Cookie带过去给google的服务器，而不会把http://www.gookang.com的Cookie带过去给google的服务器。

这就意味着，由于域名不同，用户向系统A登录后，系统A返回给浏览器的Cookie，用户再请求系统B的时候不会将系统A的Cookie带过去。

针对Cookie存在跨域问题，有几种解决方案：

服务端将Cookie写到客户端后，客户端对Cookie进行解析，将Token解析出来，此后请求都把这个Token带上就行了
多个域名共享Cookie，在写到客户端的时候设置Cookie的domain。
将Token保存在SessionStroage中（不依赖Cookie就没有跨域的问题了）

到这里，我们已经可以实现单点登录了。

3.3 CAS原理

说到单点登录，就肯定会见到这个名词：CAS （Central Authentication Service），下面说说CAS是怎么搞的。

如果已经将登录单独抽取成系统出来，我们还能这样玩。现在我们有两个系统，分别是www.ibixue.com和www.gookang.com，一个 www.ruanally.com

首先，用户想要访问系统A www.ibixue.com受限的资源(比如说购物车功能，购物车功能需要登录后才能访问)，系统A www.ibixue.com发现用户并没有登录，于是重定向到sso认证中心，并将自己的地址作为参数。请求的地址如下：

www.ruanally.com?service=www.ibixue.com

sso认证中心发现用户未登录，将用户引导至登录页面，用户进行输入用户名和密码进行登录，用户与认证中心建立全局会话（生成一份Token，写到Cookie中，保存在浏览器上）
什么是单点登录(SSO)？单点登录(SSO)到底什么意思？【附逻辑Demo实例】
什么是单点登录(SSO)？单点登录(SSO)到底什么意思？【附逻辑Demo实例】

随后，认证中心重定向回系统A，并把Token携带过去给系统A，重定向的地址如下：

www.ibixue.com?token=xxxxxxx

接着，系统A去sso认证中心验证这个Token是否正确，如果正确，则系统A和用户建立局部会话（创建Session）。到此，系统A和用户已经是登录状态了。
什么是单点登录(SSO)？单点登录(SSO)到底什么意思？【附逻辑Demo实例】
什么是单点登录(SSO)？单点登录(SSO)到底什么意思？【附逻辑Demo实例】

此时，用户想要访问系统B www.gookang.com受限的资源(比如说订单功能，订单功能需要登录后才能访问)，系统B www.gookang.com发现用户并没有登录，于是重定向到sso认证中心，并将自己的地址作为参数。请求的地址如下：

www.ruanally.com?service=www.gookang.com

注意，因为之前用户与认证中心www.ruanally.com已经建立了全局会话（当时已经把Cookie保存到浏览器上了），所以这次系统B重定向到认证中心www.ruanally.com是可以带上Cookie的。

认证中心根据带过来的Cookie发现已经与用户建立了全局会话了，认证中心重定向回系统B，并把Token携带过去给系统B，重定向的地址如下：

www.gookang.com?token=xxxxxxx

接着，系统B去sso认证中心验证这个Token是否正确，如果正确，则系统B和用户建立局部会话（创建Session）。到此，系统B和用户已经是登录状态了。
标题

看到这里，其实SSO认证中心就类似一个中转站。

什么是单点登录及作用相关推荐

【运维小知识】单点登录是什么意思？有什么作用？
很多刚入行的运维小伙伴,对于单点登录相关知识不是很了解,例如单点登录是什么意思?有什么作用?单点登录与多点登录有什么区别?这里我们小编就给大家简单回答,希望可以加深大家的了解. 单点登录是什么意思? ...
单点登录与权限管理本质：session和cookie介绍
本篇开始写「单点登录与权限管理」系列的第一部分:单点登录与权限管理本质,这部分主要介绍相关的知识概念.抽象的处理过程.常见的实现框架.通过这部分的介绍,能够对单点登录与权限管理有整体上的了解,对其相关 ...
使用 CAS 在 Tomcat 中实现单点登录
CAS 介绍 CAS 是 Yale 大学发起的一个开源项目,旨在为 Web 应用系统提供一种可靠的单点登录方法,CAS 在 2004 年 12 月正式成为 JA-SIG 的一个项目.CAS 具有以下特 ...
图文剖析：单点登录常见解决方案实现原理
作者:一叶知秋 https://muyinchen.github.io/ 一.共享Session 二.基于OpenId的单点登录三.基于Cookie的OpenId存储方案四.B/S多域名环境下的单 ...
初探系列 — Pharbers用于单点登录的权限架构
一. 前言就职公司法伯科技是一家以数据科技为驱动, 专注于医药健康领域的循证咨询公司. 以数据科学家身份, 赋能医药行业. 让每位客户都能享受数据带来的价值, 洞察业务, 不止于数据, 让决策更精 ...
单点登录系统实现基于SpringBoot
今天的干货有点湿,里面夹杂着我的泪水.可能也只有代码才能让我暂时的平静.通过本章内容你将学到单点登录系统和传统登录系统的区别,单点登录系统设计思路,Spring4 Java配置方式整合HttpClie ...
金蝶云如何html5登录,第三方系统单点登录到金蝶云指南V2
启用第三方系统登录授权 2 测试第三方系统单点登陆使用生成的链接测试是否能正常的单点登录. 3 在第三方系统中生成签名授权的URL [参数格式]:ud={"dbid":& ...
.net core 1.0 实现负载多服务器单点登录
前言 .net core 出来有一时间了,这段时间也一直在做技术准备,目前想做一个单点登录(SSO)系统,在这之前用.net时我用习惯了machineKey ,也顺手在.net core 中尝试了一上 ...
单点登录系统SSO概述 | 单点登录讲解（1）
本项目主要讲解的是单点登录系统的原理及其实现. 本章主要讲解的是单点登录系统的概述部分. 单点登录单点登录顾名思义就是从一个系统进行登录操作,就可以访问其他附近的系统.单点登录避免了用户重复的登录过 ...

什么是单点登录及作用

什么是单点登录及作用相关推荐

最新文章

热门文章