单点登录(Single Sign On , SSO)

桃扇骨 2022-01-26 04:53 321阅读 0赞

简单来说，单点登录就是**在多个系统中，用户只需一次登录，****各个系统****即可感知该用户已经登录。**

转自  [https://mp.weixin.qq.com/s/KJzq0O9-YcqW4YxOoYqKXA][https_mp.weixin.qq.com_s_KJzq0O9-YcqW4YxOoYqKXA]

## 回顾单系统登录 ##

众所周知，HTTP是**无状态**的协议，这意味着**服务器无法确认用户的信息**。于是乎，W3C就提出了：给每一个用户都发一个通行证，无论谁访问的时候都需要携带通行证，这样服务器就可以从通行证上确认用户的信息。通行证就是**Cookie**。

如果说Cookie是检查用户身上的”通行证“来确认用户的身份，那么Session就是通过检查服务器上的”客户明细表“来确认用户的身份的。**Session相当于在服务器中建立了一份“客户明细表”**。

HTTP协议是无状态的，Session不能依据HTTP连接来判断是否为同一个用户。于是乎：服务器向用户浏览器发送了一个名为JESSIONID的Cookie，它的值是Session的id值。**其实Session是依据Cookie来识别是否是同一个用户**。

所以，**一般我们单系统实现登录会这样做：**

*  **登录**：将用户信息保存在Session对象中
    
     *  如果在Session对象中能查到，说明已经登录
     *  如果在Session对象中查不到，说明没登录（或者已经退出了登录）
 *  **注销（退出登录）**：从Session中删除用户的信息
 *  **记住我（关闭掉浏览器后，重新打开浏览器还能保持登录状态）**：配合Cookie来用

## 多系统登录的问题与解决 ##

**1 Session不共享问题**

单系统登录功能主要是用Session保存用户信息来实现的，但我们清楚的是：多系统即可能有多个Tomcat，而Session是依赖当前系统的Tomcat，所以系统A的Session和系统B的Session是**不共享**的。

解决系统之间Session不共享问题有一下几种方案：

*  Tomcat集群Session全局复制（集群内每个tomcat的session完全同步）【会影响集群的性能呢，不建议】
 *  根据请求的IP进行**Hash映射**到对应的机器上（这就相当于请求的IP一直会访问同一个服务器）【如果服务器宕机了，会丢失了一大部分Session的数据，不建议】
 *  把Session数据放在Redis中（使用Redis模拟Session）【**建议**】
    
     *  如果还不了解Redis的同学，建议移步（[Redis合集][Redis]）

如果要看具体操作代码,请看开篇的转自链接

总结：

*  SSO系统生成一个**token**，并将用户信息存到**Redis**中，并设置过期时间
 *  其他系统请求SSO系统进行登录，得到SSO返回的token，写到Cookie中
 *  每次请求时，Cookie都会带上，拦截器得到token，判断是否已经登录

到这里，其实我们会发现其实就两个变化：

*  **将登陆功能抽取为一个系统（SSO），其他系统请求SSO进行登录**
 *  **本来将用户信息存到Session，现在将用户信息存到Redis**

**2 Cookie跨域的问题**

比如说，我们请求`<https://www.google.com/>`时，浏览器会自动把`google.com`的Cookie带过去给`google`的服务器，而不会把`<https://www.baidu.com/>`的Cookie带过去给`google`的服务器。

这就意味着，**由于域名不同**，用户向系统A登录后，系统A返回给浏览器的Cookie，用户再请求系统B的时候不会将系统A的Cookie带过去。

针对Cookie存在跨域问题，有几种解决方案：

1.  服务端将Cookie写到客户端后，客户端对Cookie进行解析，将Token解析出来，此后请求都把这个Token带上就行了
2.  多个域名共享Cookie，在写到客户端的时候设置Cookie的domain。
3.  将Token保存在SessionStroage中（不依赖Cookie就没有跨域的问题了）

到这里，我们已经可以实现单点登录了。

**3 CAS原理**

说到单点登录，就肯定会见到这个名词：CAS （Central Authentication Service ,中心认证服务,本质就是一个认证中心的cookie，加上多个子系统的cookie），下面说说CAS是怎么搞的。

**如果已经将登录单独抽取成系统出来**，我们还能这样玩。现在我们有两个系统，分别是`www.java3y.com`和`www.java4y.com`，一个SSO`www.sso.com(认证中心)`

**首先**，用户想要访问系统A`www.java3y.com`受限的资源(比如说购物车功能，购物车功能需要登录后才能访问)，系统A`www.java3y.com`发现用户并没有登录，于是**重定向到sso认证中心，并将自己的地址作为参数**。请求的地址如下：

*  `www.sso.com?service=www.java3y.com`

sso认证中心发现用户未登录，将用户引导至登录页面，用户进行输入用户名和密码进行登录，**用户与认证中心**建立**全局会话****（生成一份Token，写到Cookie中，保存在浏览器上）**

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zOTU5Mzk4NQ_size_16_color_FFFFFF_t_70][]

**随后**，认证中心**重定向回系统A**，并把Token携带过去给系统A，重定向的地址如下：

*  `www.java3y.com?token=xxxxxxx`

**接着**，系统A去sso认证中心验证这个**Token**是否正确，如果正确，则**系统A和用户**建立**局部会话**（**创建Session**）。到此，系统A和用户已经是登录状态了。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zOTU5Mzk4NQ_size_16_color_FFFFFF_t_70 1][]

**此时**，用户想要访问系统B`www.java4y.com`*受限的资源*(比如说订单功能，订单功能需要登录后才能访问)，系统B`www.java4y.com`发现用户并没有登录，于是**重定向到sso认证中心，并将自己的地址作为参数**。请求的地址如下：

*  `www.sso.com?service=www.java4y.com`

**注意**，因为之前**用户与认证中心**`www.sso.com`已经建立了**全局会话**（当时已经把Cookie保存到浏览器上了），所以这次系统B**重定向****到认证中心**`www.sso.com`是**可以带上Cookie的**。

认证中心**根据带过来的Cookie**发现已经与用户建立了全局会话了，认证中心**重定向回系统B**，并把**Token**携带过去给系统B，重定向的地址如下：

*  `www.java4y.com?token=xxxxxxx`

接着，系统B去sso认证中心验证这个Token是否正确，如果正确，则系统B和用户建立**局部会话**（**创建Session**）。到此，系统B和用户已经是登录状态了。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zOTU5Mzk4NQ_size_16_color_FFFFFF_t_70 2][]

看到这里，其实SSO认证中心就类似一个**中转站**。

[https_mp.weixin.qq.com_s_KJzq0O9-YcqW4YxOoYqKXA]: https://mp.weixin.qq.com/s/KJzq0O9-YcqW4YxOoYqKXA
[Redis]: https://mp.weixin.qq.com/s?__biz=MzI4Njg5MDA5NA==&mid=2247484609&idx=1&sn=4c053236699fde3c2db1241ab497487b&scene=21#wechat_redirect
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zOTU5Mzk4NQ_size_16_color_FFFFFF_t_70]: /images/20220126/e7fdf1f8a2984db9b9c18dbc785171bf.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zOTU5Mzk4NQ_size_16_color_FFFFFF_t_70 1]: /images/20220126/fc060a4635514819959c45f77d21a05b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl8zOTU5Mzk4NQ_size_16_color_FFFFFF_t_70 2]: /images/20220126/689d156bf73f4bf8abb2780246ae1d3b.png