常用的兩種web單點登入SSO的實現原理

2021-07-17 01:46:34 字數 1512 閱讀 6968

常用的兩種web單點登入sso的實現原理

單點登入sso(single sign on)說得簡單點就是在乙個多系統共存的環境下,使用者在一處登入後,就不用在其他系統中登入,也就是使用者的一次登入能得到其他所有系統的信任。單點登入在大型**裡使用得非常頻繁,例如像阿里巴巴這樣的**,在**的背後是成百上千的子系統,使用者一次操作或交易可能涉及到幾十個子系統的協作,如果每個子系統都需要使用者認證,不僅使用者會瘋掉,各子系統也會為這種重複認證授權的邏輯搞瘋掉。實現單點登入說到底就是要解決如何產生和儲存那個信任,再就是其他系統如何驗證這個信任的有效性,因此要點也就以下幾個:

儲存信任

驗證信任

只要解決了以上的問題,達到了開頭講得效果就可以說是sso。最簡單實現sso的方法就是用cookie,實現流程如下所示:

不然發現以上的方案是把信任儲存在客戶端的cookie裡,這種方法雖然實現方便但立馬會讓人質疑兩個問題:

cookie不安全

不能跨域免登

對於第乙個問題一般都是通過加密cookie來處理,第二個問題是硬傷,其實這種方案的思路的就是要把這個信任關係儲存在客戶端,要實現這個也不一定只能用cookie,用flash也能解決,flash的shared object api就提供了儲存能力。

一般說來,大型系統會採取在服務端儲存信任關係的做法,實現流程如下所示:

以上方案就是要把信任關係儲存在單獨的sso系統(暫且這麼稱呼它)裡,說起來只是簡單地從客戶端移到了服務端,但其中幾個問題需要重點解決:

如何高效儲存大量臨時性的信任資料

如何防止資訊傳遞過程被篡改

如何讓sso系統信任登入系統和免登系統

對於第乙個問題,一般可以採用類似與memcached的分布式快取的方案,既能提供可擴充套件資料量的機制,也能提供高效訪問。對於第二個問題,一般採取數字簽名的方法,要麼通過數字證書簽名,要麼通過像md5的方式,這就需要sso系統返回免登url的時候對需驗證的引數進行md5加密,並帶上token一起返回,最後需免登的系統進行驗證信任關係的時候,需把這個token傳給sso系統,sso系統通過對token的驗證就可以辨別資訊是否被改過。對於最後乙個問題,可以通過白名單來處理,說簡單點只有在白名單上的系統才能請求生產信任關係,同理只有在白名單上的系統才能被免登入。

通過第二種方案的演變,可以使用發放票據的方式實現websso登入:

通過第三種方式,客戶端只做票據的發放和獲取,不涉及使用者資訊傳輸,使用者資訊均可交給子系統和sso系統之間處理,更有效保護使用者隱私。

以上只是提供了些簡單的實現技術,但需要強調的是這只是技術實現而已,僅僅是為了解決上面談到的一些問題,sso本身來說並不是什麼高科技,有了這個認識比較有利於我們深入探索ss

常用的兩種web單點登入SSO的實現原理

單點登入sso single sign on 說得簡單點就是在乙個多系統共存的環境下,使用者在一處登入後,就不用在其他系統中登入,也就是使用者的一次登入能得到其他所有系統的信任。單點登入在大型 裡使用得非常頻繁,例如像阿里巴巴這樣的 在 的背後是成百上千的子系統,使用者一次操作或交易可能涉及到幾十個...

常用的兩種web單點登入SSO的實現原理

單點登入sso single sign on 說得簡單點就是在乙個多系統共存的環境下,使用者在一處登入後,就不用在其他系統中登入,也就是使用者的一次登入能得到其他所有系統的信任。單點登入在大型 裡使用得非常頻繁,例如像阿里巴巴這樣的 在 的背後是成百上千的子系統,使用者一次操作或交易可能涉及到幾十個...

單點登入sso的定義

單點登入sso的定義 單點登入 single sign on 簡稱為 sso,是目前比較流行的企業業務整合的解決方案之一。sso的定義是在多個應用系統中,使用者只需要登入一次就可以訪問所有相互信任的應用系統。企業應用整合 eai 企業應用整合可以在不同層面上進行 例如在資料儲存層面上的 資料大集中 ...