走在架构师的大道上 Jack.Wang's home

Java, C++, linux c, C#.net 技术,软件架构,领域建模,IT 项目管理 Dict.CN 在线词典, 英语学习, 在线翻译

BlogJava 首页 新随笔 联系 聚合 管理
  195 Posts :: 3 Stories :: 728 Comments :: 0 Trackbacks
1 什么是单点登陆
      单点登录(Single Sign On),简称为 SSO,是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中,用户只需要登录一次就可以访问所有相互信任的应用系统。
      较大的企业内部,一般都有很多的业务支持系统为其提供相应的管理和IT服务。例如财务系统为财务人员提供财务的管理、计算和报表服务;人事系统为人事部门 提供全公司人员的维护服务;各种业务系统为公司内部不同的业务提供不同的服务等等。这些系统的目的都是让计算机来进行复杂繁琐的计算工作,来替代人力的手 工劳动,提高工作效率和质量。这些不同的系统往往是在不同的时期建设起来的,运行在不同的平台上;也许是由不同厂商开发,使用了各种不同的技术和标准。如 果举例说国内一著名的IT公司(名字隐去),内部共有60多个业务系统,这些系统包括两个不同版本的SAP的ERP系统,12个不同类型和版本的数据库系 统,8个不同类型和版本的操作系统,以及使用了3种不同的防火墙技术,还有数十种互相不能兼容的协议和标准,你相信吗?不要怀疑,这种情况其实非常普遍。 每一个应用系统在运行了数年以后,都会成为不可替换的企业IT架构的一部分,如下图所示。

      随着企业的发展,业务系统的数量在不断的增加,老的系统却不能轻易的替换,这会带来很多的开销。其一是管理上的开销,需要维护的系统越来越多。很多系统的 数据是相互冗余和重复的,数据的不一致性会给管理工作带来很大的压力。业务和业务之间的相关性也越来越大,例如公司的计费系统和财务系统,财务系统和人事 系统之间都不可避免的有着密切的关系。

      为了降低管理的消耗,最大限度的重用已有投资的系统,很多企业都在进行着企业应用集成(EAI)。企业应用集成可以在不同层面上进行:例如在数据存储层面 上的“数据大集中”,在传输层面上的“通用数据交换平台”,在应用层面上的“业务流程整合”,和用户界面上的“通用企业门户”等等。事实上,还用一个层面 上的集成变得越来越重要,那就是“身份认证”的整合,也就是“单点登录”。

      通常来说,每个单独的系统都会有自己的安全体系和身份认证系统。整合以前,进入每个系统都需要进行登录,这样的局面不仅给管理上带来了很大的困难,在安全方面也埋下了重大的隐患。下面是一些著名的调查公司显示的统计数据:
  • 用户每天平均16分钟花在身份验证任务上 - 资料来源:IDS
  • 频繁的IT用户平均有21个密码 - 资料来源:NTA Monitor Password Survey
  • 49%的人写下了其密码,而67%的人很少改变它们
  • 每79秒出现一起身份被窃事件 - 资料来源:National Small Business Travel Assoc
  • 全球欺骗损失每年约12B - 资料来源:Comm Fraud Control Assoc
  • 到2007年,身份管理市场将成倍增长至$4.5B - 资料来源:IDS

      使用“单点登录”整合后,只需要登录一次就可以进入多个系统,而不需要重新登录,这不仅仅带来了更好的用户体验,更重要的是降低了安全的风险和管理的消耗。请看下面的统计数据:
  • 提高IT效率:对于每1000个受管用户,每用户可节省$70K
  • 帮助台呼叫减少至少1/3,对于10K员工的公司,每年可以节省每用户$75,或者合计$648K
  • 生产力提高:每个新员工可节省$1K,每个老员工可节省$350 - 资料来源:Giga
  • ROI回报:7.5到13个月 - 资料来源:Gartner   

      另外,使用“单点登录”还是SOA时代的需求之一。在面向服务的架构中,服务和服务之间,程序和程序之间的通讯大量存在,服务之间的安全认证是SOA应用的难点之一,应此建立“单点登录”的系统体系能够大大简化SOA的安全问题,提高服务之间的合作效率。
   2 单点登陆的技术实现机制
      随着SSO技术的流行,SSO的产品也是满天飞扬。所有著名的软件厂商都提供了相应的解决方案。在这里我并不想介绍自己公司(Sun Microsystems)的产品,而是对SSO技术本身进行解析,并且提供自己开发这一类产品的方法和简单演示。有关我写这篇文章的目的,请参考我的博 客(http://yuwang881.blog.sohu.com/3184816.html)。

      单点登录的机制其实是比较简单的,用一个现实中的例子做比较。颐和园是北京著名的旅游景点,也是我常去的地方。在颐和园内部有许多独立的景点,例如“苏州 街”、“佛香阁”和“德和园”,都可以在各个景点门口单独买票。很多游客需要游玩所有德景点,这种买票方式很不方便,需要在每个景点门口排队买票,钱包拿 进拿出的,容易丢失,很不安全。于是绝大多数游客选择在大门口买一张通票(也叫套票),就可以玩遍所有的景点而不需要重新再买票。他们只需要在每个景点门 口出示一下刚才买的套票就能够被允许进入每个独立的景点。
      单点登录的机制也一样,如下图所示,当用户第一次访问应用系统1的时候,因为还没有登录,会被引导到认证系统中进行登录(1);根据用户提供的登录信息, 认证系统进行身份效验,如果通过效验,应该返回给用户一个认证的凭据--ticket(2);用户再访问别的应用的时候(3,5)就会将这个ticket 带上,作为自己认证的凭据,应用系统接受到请求之后会把ticket送到认证系统进行效验,检查ticket的合法性(4,6)。如果通过效验,用户就可 以在不用再次登录的情况下访问应用系统2和应用系统3了。
  
      从上面的视图可以看出,要实现SSO,需要以下主要的功能:
  • 所有应用系统共享一个身份认证系统。
    统一的认证系统是SSO的前提之一。认证系统的主要功能是将用户的登录信息和用户信息库相比较,对用户进行登录认证;认证成功后,认证系统应该生成统一的认证标志(ticket),返还给用户。另外,认证系统还应该对ticket进行效验,判断其有效性。
  • 所有应用系统能够识别和提取ticket信息
    要实现SSO的功能,让用户只登录一次,就必须让应用系统能够识别已经登录过的用户。应用系统应该能对ticket进行识别和提取,通过与认证系统的通讯,能自动判断当前用户是否登录过,从而完成单点登录的功能。   

      上面的功能只是一个非常简单的SSO架构,在现实情况下的SSO有着更加复杂的结构。有两点需要指出的是:
  • 单一的用户信息数据库并不是必须的,有许多系统不能将所有的用户信息都集中存储,应该允许用户信息放置在不同的存储中,如下图所示。事实上,只要统一认证系统,统一ticket的产生和效验,无论用户信息存储在什么地方,都能实现单点登录。    


  • 统一的认证系统并不是说只有单个的认证服务器,如下图所示,整个系统可以存在两个以上的认证服务器,这些服务器甚至可以是不同的产品。认证服务器 之间要通过标准的通讯协议,互相交换认证信息,就能完成更高级别的单点登录。如下图,当用户在访问应用系统1时,由第一个认证服务器进行认证后,得到由此 服务器产生的ticket。当他访问应用系统4的时候,认证服务器2能够识别此ticket是由第一个服务器产生的,通过认证服务器之间标准的通讯协议 (例如SAML)来交换认证信息,仍然能够完成SSO的功能。

     
    3 WEB-SSO的实现
      随着互联网的高速发展,WEB应用几乎统治了绝大部分的软件应用系统,因此WEB-SSO是SSO应用当中最为流行。WEB-SSO有其自身的特点和优 势,实现起来比较简单易用。很多商业软件和开源软件都有对WEB-SSO的实现。其中值得一提的是OpenSSO (https://opensso.dev.java.net),为用Java实现WEB-SSO提供架构指南和服务指南,为用户自己来实现WEB-SSO提供了理论的依据和实现的方法。  
      为什么说WEB-SSO比较容易实现呢?这是有WEB应用自身的特点决定的。
      众所周知,Web协议(也就是HTTP)是一个无状态的协议。一个Web应用由很多个Web页面组成,每个页面都有唯一的URL来定义。用户在浏览器的地 址栏输入页面的URL,浏览器就会向Web Server去发送请求。如下图,浏览器向Web服务器发送了两个请求,申请了两个页面。这两个页面的请求是分别使用了两个单独的HTTP连接。所谓无状 态的协议也就是表现在这里,浏览器和Web服务器会在第一个请求完成以后关闭连接通道,在第二个请求的时候重新建立连接。Web服务器并不区分哪个请求来 自哪个客户端,对所有的请求都一视同仁,都是单独的连接。这样的方式大大区别于传统的(Client/Server)C/S结构,在那样的应用中,客户端 和服务器端会建立一个长时间的专用的连接通道。正是因为有了无状态的特性,每个连接资源能够很快被其他客户端所重用,一台Web服务器才能够同时服务于成 千上万的客户端。

      但是我们通常的应用是有状态的。先不用提不同应用之间的SSO,在同一个应用中也需要保存用户的登录身份信息。例如用户在访问页面1的时候进行了登录,但 是刚才也提到,客户端的每个请求都是单独的连接,当客户再次访问页面2的时候,如何才能告诉Web服务器,客户刚才已经登录过了呢?浏览器和服务器之间有 约定:通过使用cookie技术来维护应用的状态。Cookie是可以被Web服务器设置的字符串,并且可以保存在浏览器中。如下图所示,当浏览器访问了 页面1时,web服务器设置了一个cookie,并将这个cookie和页面1一起返回给浏览器,浏览器接到cookie之后,就会保存起来,在它访问页 面2的时候会把这个cookie也带上,Web服务器接到请求时也能读出cookie的值,根据cookie值的内容就可以判断和恢复一些用户的信息状 态。

      Web-SSO完全可以利用Cookie结束来完成用户登录信息的保存,将浏览器中的Cookie和上文中的Ticket结合起来,完成SSO的功能。

      为了完成一个简单的SSO的功能,需要两个部分的合作:
  • 统一的身份认证服务。
  • 修改Web应用,使得每个应用都通过这个统一的认证服务来进行身份效验。

   3.1 Web SSO 的样例
      根据上面的原理,我用J2EE的技术(JSP和Servlet)完成了一个具有Web-SSO的简单样例。样例包含一个身份认证的服务器和两个简单的 Web应用,使得这两个 Web应用通过统一的身份认证服务来完成Web-SSO的功能。此样例所有的源代码和二进制代码都可以从网站地址http://gceclub.sun.com.cn/wangyu/下载。

      样例下载、安装部署和运行指南:
  • Web-SSO的样例是由三个标准Web应用组成,压缩成三个zip文件,从http://gceclub.sun.com.cn/wangyu/web-sso/中下载。其中SSOAuth(http://gceclub.sun.com.cn/wangyu/web-sso/SSOAuth.zip)是身份认证服务;SSOWebDemo1(http://gceclub.sun.com.cn/wangyu/web-sso/SSOWebDemo1.zip)和SSOWebDemo2(http://gceclub.sun.com.cn/wangyu/web-sso/SSOWebDemo2.zip) 是两个用来演示单点登录的Web应用。这三个Web应用之所以没有打成war包,是因为它们不能直接部署,根据读者的部署环境需要作出小小的修改。样例部 署和运行的环境有一定的要求,需要符合Servlet2.3以上标准的J2EE容器才能运行(例如Tomcat5,Sun Application Server 8, Jboss 4等)。另外,身份认证服务需要JDK1.5的运行环境。之所以要用JDK1.5是因为笔者使用了一个线程安全的高性能的Java集合类 “ConcurrentMap”,只有在JDK1.5中才有。
  • 这三个Web应用完全可以单独部署,它们可以分别部署在 不同的机器,不同的操作系统和不同的J2EE的产品上,它们完全是标准的和平台无关的应用。但是有一个限制,那两台部署应用(demo1、demo2)的 机器的域名需要相同,这在后面的章节中会解释到cookie和domain的关系以及如何制作跨域的WEB-SSO
    解压缩SSOAuth.zip文件,在/WEB-INF/下的web.xml中请修改“domainname”的属性以反映实际的应用部署情况, domainname需要设置为两个单点登录的应用(demo1和demo2)所属的域名。这个domainname和当前SSOAuth服务部署的机器 的域名没有关系。我缺省设置的是“.sun.com”。如果你部署demo1和demo2的机器没有域名,请输入IP地址或主机名(如 localhost),但是如果使用IP地址或主机名也就意味着demo1和demo2需要部署到一台机器上了。设置完后,根据你所选择的J2EE容器, 可能需要将SSOAuth这个目录压缩打包成war文件。用“jar -cvf SSOAuth.war SSOAuth/”就可以完成这个功能。
  • 解压缩SSOWebDemo1和SSOWebDemo2文件,分别在它们/WEB-INF/下找到web.xml文件,请修改其中的几个初始化参数

<init-param>
<param-name>SSOServiceURL</param-name>
<param-value>http://wangyu.prc.sun.com:8080/SSOAuth/SSOAuth</param-value>
</init-param>
<init-param>
<param-name>SSOLoginPage</param-name>
<param-value>http://wangyu.prc.sun.com:8080/SSOAuth/login.jsp</param-value>
</init-param>
  • 将其中的SSOServiceURL和SSOLoginPage修改成部署SSOAuth应用的机器名、端口号以及根路径(缺省是 SSOAuth)以反映实际的部署情况。设置完后,根据你所选择的J2EE容器,可能需要将SSOWebDemo1和SSOWebDemo2这两个目录压 缩打包成两个war文件。用“jar -cvf SSOWebDemo1.war SSOWebDemo1/”就可以完成这个功能。
  • 请输入第一个web应用的测试URL(test.jsp),例如http://wangyu.prc.sun.com:8080/SSOWebDemo1/test.jsp,如果是第一次访问,便会自动跳转到登录界面,如下图。

  • 使用系统自带的三个帐号之一登录(例如,用户名:wangyu,密码:wangyu),便能成功的看到test.jsp的内容:显示当前用户名和欢迎信息。

  • 请接着在同一个浏览器中输入第二个web应用的测试URL(test.jsp),例如http://wangyu.prc.sun.com:8080/SSOWebDemo2/test.jsp。你会发现,不需要再次登录就能看到test.jsp的内容,同样是显示当前用户名和欢迎信息,而且欢迎信息中明确的显示当前的应用名称(demo2)。   


   3.2 WEB-SSO代码讲解
      3.2.1身份认证服务代码解析
      Web-SSO的源代码可以从网站地址http://gceclub.sun.com.cn/wangyu/web-sso/websso_src.zip下 载。身份认证服务是一个标准的web应用,包括一个名为SSOAuth的Servlet,一个login.jsp文件和一个failed.html。身份 认证的所有服务几乎都由SSOAuth的Servlet来实现了;login.jsp用来显示登录的页面(如果发现用户还没有登录过); failed.html是用来显示登录失败的信息(如果用户的用户名和密码与信息数据库中的不一样)。
  
      SSOAuth的代码如下面的列表显示,结构非常简单,先看看这个Servlet的主体部分:
package DesktopSSO;

import java.io.*;
import java.net.*;
import java.text.*;
import java.util.*;
import java.util.concurrent.*;

import javax.servlet.*;
import javax.servlet.http.*;


public class SSOAuth extends HttpServlet {
    
      static private ConcurrentMap accounts;
      static private ConcurrentMap SSOIDs;
      String cookiename="WangYuDesktopSSOID";
      String domainname;
    
      public void init(ServletConfig config) throws ServletException {
          super.init(config);
          domainname= config.getInitParameter("domainname");
          cookiename = config.getInitParameter("cookiename");
          SSOIDs = new ConcurrentHashMap();
          accounts=new ConcurrentHashMap();
          accounts.put("wangyu", "wangyu");
          accounts.put("paul", "paul");
          accounts.put("carol", "carol");
      }

      protected void processRequest(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
          PrintWriter ut = response.getWriter();
          String action = request.getParameter("action");
          String result="failed";
          if (action==null) {
              handlerFromLogin(request,response);
          } else if (action.equals("authcookie")){
              String myCookie = request.getParameter("cookiename");
              if (myCookie != null) result = authCookie(myCookie);
              out.print(result);
              out.close();
          } else if (action.equals("authuser")) {
             result=authNameAndPasswd(request,response);
              out.print(result);
              out.close();
          } else if (action.equals("logout")) {
              String myCookie = request.getParameter("cookiename");
              logout(myCookie);
              out.close();
          }
      }

.....

}

      从代码很容易看出,SSOAuth就是一个简单的Servlet。其中有两个静态成员变量:accounts和SSOIDs,这两个成员变量都使用了 JDK1.5中线程安全的MAP类: ConcurrentMap,所以这个样例一定要JDK1.5才能运行。Accounts用来存放用户的用户名和密码,在init()的方法中可以看到我 给系统添加了三个合法的用户。在实际应用中,accounts应该是去数据库中或LDAP中获得,为了简单起见,在本样例中我使用了 ConcurrentMap在内存中用程序创建了三个用户。而SSOIDs保存了在用户成功的登录后所产生的cookie和用户名的对应关系。它的功能显 而易见:当用户成功登录以后,再次访问别的系统,为了鉴别这个用户请求所带的cookie的有效性,需要到SSOIDs中检查这样的映射关系是否存在。

      在主要的请求处理方法processRequest()中,可以很清楚的看到SSOAuth的所有功能。
  • 如果用户还没有登录过,是第一次登录本系统,会被跳转到login.jsp页面(在后面会解释如何跳转)。用户在提供了用户名和密码以后,就会用handlerFromLogin()这个方法来验证。
  • 如果用户已经登录过本系统,再访问别的应用的时候,是不需要再次登录的。因为浏览器会将第一次登录时产生的cookie和请求一起发送。效验cookie的有效性是SSOAuth的主要功能之一。
  • SSOAuth还能直接效验非login.jsp页面过来的用户名和密码的效验请求。这个功能是用于非web应用的SSO,这在后面的桌面SSO中会用到。
  • SSOAuth还提供logout服务。   


      下面看看几个主要的功能函数:
private void handlerFromLogin(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
          String username = request.getParameter("username");
          String password = request.getParameter("password");
          String pass = (String)accounts.get(username);
          if ((pass==null)||(!pass.equals(password)))
              getServletContext().getRequestDispatcher("/failed.html").forward(request, response);
          else {
              String gotoURL = request.getParameter("goto");
              String newID = createUID();
              SSOIDs.put(newID, username);
              Cookie wangyu = new Cookie(cookiename, newID);
              wangyu.setDomain(domainname);
              wangyu.setMaxAge(60000);
              wangyu.setValue(newID);
              wangyu.setPath("/");
              response.addCookie(wangyu);
              System.out.println("login success, goto back url:" + gotoURL);
              if (gotoURL != null) {
                  PrintWriter ut = response.getWriter();
                  response.sendRedirect(gotoURL);
                  out.close();
              }
          }   
      }
      handlerFromLogin()这个方法是用来处理来自login.jsp的登录请求。它的逻辑很简单:将用户输入的用户名和密码与预先设定好的用 户集合(存放在accounts中)相比较,如果用户名或密码不匹配的话,则返回登录失败的页面(failed.html),如果登录成功的话,需要为用 户当前的session创建一个新的ID,并将这个ID和用户名的映射关系存放到SSOIDs中,最后还要将这个ID设置为浏览器能够保存的cookie 值。
      登录成功后,浏览器会到哪个页面呢?那我们回顾一下我们是如何使用身份认证服务的。一般来说我们不会直接访问身份服务的任何URL,包括 login.jsp。身份服务是用来保护其他应用服务的,用户一般在访问一个受SSOAuth保护的Web应用的某个URL时,当前这个应用会发现当前的 用户还没有登录,便强制将也页面转向SSOAuth的login.jsp,让用户登录。如果登录成功后,应该自动的将用户的浏览器指向用户最初想访问的那 个URL。在handlerFromLogin()这个方法中,我们通过接收“goto”这个参数来保存用户最初访问的URL,成功后便重新定向到这个页 面中。
      另外一个要说明的是,在设置cookie的时候,我使用了一个setMaxAge(6000)的方法。这个方法是用来设置cookie的有效期,单位是 秒。如果不使用这个方法或者参数为负数的话,当浏览器关闭的时候,这个cookie就失效了。在这里我给了很大的值(1000分钟),导致的行为是:当你 关闭浏览器(或者关机),下次再打开浏览器访问刚才的应用,只要在1000分钟之内,就不需要再登录了。我这样做是下面要介绍的桌面SSO中所需要的功 能。
      其他的方法更加简单,这里就不多解释了。

3.2.2具有SSO功能的web应用源代码解析         要实现WEB-SSO的功能,只有身份认证服务是不够的。这点很显然,要想使多个应用具有单点登录的功能,还需要每个应用本身的配合:将自己的身份认证的 服务交给一个统一的身份认证服务-SSOAuth。SSOAuth服务中提供的各个方法就是供每个加入SSO的Web应用来调用的。
























再转载点内容:


昨天和几位朋友探讨到了这个话题,发现虽然单点登录,或者叫做独立的passport登录虽然已经有了很多实现方法,但是能真正了解并实现的人却并不太多,所以些下此文,希望从原理到实现,能让大家了解的多一些


至于什么是单点登录,举个例子,如果你登录了msn messenger,访问hotmail邮件就不用在此登录。
一般单点登录都需要有一个独立的登录站点,一般具有独立的域名,专门的进行注册,登录,注销等操作

我们为了讨论方便,把这个登录站点叫做站点P,设其Url为http://passport.yizhu2000.com,需要提供服务的站点设为A和B,跨站点单点登录是指你在A网站进行登录后,使用B网站的服务就不需要再登录


从技术角度讲单点登录分为:

  • 跨子域单点登录
  • 完全跨单点域登录

跨子域单点登录

所谓跨子域登录,A,B站点和P站点位于同一个域下面,比如A站点为http://blog.yizhu2000.com     B站点为 http://forum.yizhu2000.com,他们和登录站点P的关系可以看到,都是属于同一个父域,yizhu2000.com,不同的是子域不同,一个为blog,一个为forum,一个是passport

我们先看看最常用的非跨站点普通登录的情况,一般登录验证通过后,一般会将你的用户名和一些用户信息,通过某一密钥进行加密,写在本地,也就是一个加密的cookie,我们把这个cookie叫做--票(ticket)。

需要判断用户是否登录的页面,需要读取这个ticket,并从其中解密出用户信息,如果ticket不存在,或者无法解密,意味着用户没有登录,或者登录信息不正确,这时就要跳转到登录页面进行登录,在这里加密的作用有两个,一是防止用户信息被不怀好意者看到,二是保证ticket不会被伪造,后者其实更为重要,加密后,各个应用需要采用与加密同样的密钥进行解密,如果不知道密钥,就不能伪造出ticket,

(注:加密和解密的密钥有可能不同,取决于采用什么加密算法,如果是对称加密,则为同一密钥,如果是非对称,就不同了,一般用私钥加密,公钥解密,但是无论怎样,密钥都只有内部知道,这样伪造者既无法伪造也无法解密ticket)

跨子域的单点登录,和上述普通登录的过程没有什么不同,唯一不同的是写cookie时,由于登录站点P和应用A处于不同的子域,P站写入的cookie的域为passport.yizhu2000.net,而A站点为forum.yizhu2000.net,A在判断用户登录时无法读到P站点的ticket

解决方法非常简单,当Login完成后P站点写ticket的时候,只需把cookie的域设为他们共同的父域,yizhu2000.net就可以了:cookie.domain="yizhu2000.net",A站点自然就可以读到这个ticket了

ASP。Net的form验证本身实现了这个机制,大家可以参考http://blog.csdn.net/octverve/archive/2007/09/22/1796338.aspx

ASP.NET身份验证信息跨域共享状态

在ASP.NET 2.0 中只需修改web.config文件即可,修改方法如下:

<authentication mode="Forms">
<forms name=".ASPNETFORM"   domain="imneio.com" loginUrl="/login.aspx" defaultUrl="/default.aspx" protection="All" timeout="30" path="/" requireSSL="false" slidingExpiration="true" enableCrossAppRedirects="false" cookieless="UseDeviceProfile" />
</authentication>

domain指定了cookie保存的域,只要保存的是 abc.com形式或者.abc.com的形式,那么其二级域名都可以共享此cookie。

此外,web.config标签中的<sessionState >也做相应修改,mode改为StateServer或者SqlServer,那么里面的session信息也就全部可以共享了。

StateServer需要在服务中开启“asp.net状态服务”的服务

http://www.imneio.com/2007/11/17/aspnetnote1/,以上斜体内容摘自此链接

完全跨单点域登录

完全跨域登录,是指A,B站点和P站点没有共同的父域,比如A站点为forum.yizhu1999.net,B站点为blog.yizhu1998.net,大家可以参考微软旗下的几个站点http://www.live.comwww.hotmail.com,这两个站点就没有共同的父域,而仍然可以共用登录,怎样才能实现呢?请参考下图,由于这种情况ticket比较复杂,我们暂时把P站点创建的的ticket叫做P-ticket,而A站点创建的ticket叫A-ticket,B的为B-ticket

login

 

由于站点A(forum.yizhu1999.com)不能读取到由站点P(passport.yizhu2000.com)创建的加密ticket,所以当用户访问A站点上需要登录才能访问的资源时,A站点会首先查看是否有A-ticket,如果没有,证明用户没有在A站点登录过,不过并不保证用户没有在B站点登录,(重复一下,既然是单点登录,当然无论你在A,B任意一个站点登录过,另外一个站点都要可以访问),请求会被重定向到p站点的验证页面,验证页面读取P-ticket,如果没有,或者解密不成功,就需要重定向登录页面,登录页面完成登录后,写一个加密cookie,也就是P-ticket,并且重定向到A站点的登录处理页,并把加密的用户信息作为参数传递给这个页面,这个页面接收登录页的用户信息,解密后也要写一个cookie,也就是A-ticket,今后用户再次访问A站点上需要登录权限才能访问的资源时,只需要检查这个A-cookie是否存在就可以了

当用户访问B站点时,会重复上面的过程,监测到没有B-ticket,就会重定向到P站点的验证页面,去检查P-ticket,如果没有,就登录,有则返回B的登录处理页面写B-ticket

 

注销的时候需要删除P-ticket和A-ticket

 

logout

 

怎么删除cookie:本来以为这个不是问题,不过还是有朋友问道,简单的说其实是创建一个和你要删除的cookie同名的cookie,并把cookie的expire设为当前时间之前的某个时间,不过在跨子域的删除cookie时有一点要注意:必须要把cookie的域设置为父域,在本文中为yizhu2000.com

为了保证各个环节的传输的安全性,最好使用https连接

原文地址:http://www.cnblogs.com/yizhu2000/archive/2008/04/01/1131976.html




本博客为学习交流用,凡未注明引用的均为本人作品,转载请注明出处,如有版权问题请及时通知。由于博客时间仓促,错误之处敬请谅解,有任何意见可给我留言,愿共同学习进步。
posted on 2008-04-10 10:59 Jack.Wang 阅读(129113) 评论(63)  编辑  收藏 所属分类: 架构师篇

Feedback

# re: SSO单点登录解决方案[转载] 2008-08-28 22:55 刘森
我这里什么得不到保在客户端的Cookie啊  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2009-04-28 12:28
如果浏览器禁用COOKIES呢.有些用户不想自己的浏览器用COOKES.有没有不基于COOKIES的方案..  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2009-08-05 17:09 iamcmz
非常好  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2009-08-26 17:41
写的很不错,但是您说的地址下载不了东西啊。邮箱:798372631@qq.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2009-10-12 12:07 wwwsq
cookie方式不是彻底安全的。
彻底安全的应该是kerberos那种broker的方式。
  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2009-10-15 20:14 赵薇薇
您好,你的链接网址下载源代码,不能打开的.  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2009-11-05 10:16 刘蓝
真不错,受益匪浅,我邮箱:liutao.help@163.com有空您给发一份。  回复  更多评论
  

# re: SSO单点登录解决方案[转载][未登录] 2009-11-16 18:07 王刚
您好,你的链接网址下载源代码,不能打开的
能发到我邮箱吗? hill31508@163.com,谢谢  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2010-01-14 16:51 张敏
收益匪浅啊,谢谢您写的文章,您给的链接下载不了,您给我发一份单点登录的样例吧 谢谢了 邮箱:zhangmin032011@163.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2010-03-04 10:47 宋标
写的很清楚,容易理解。可以链接打不开,能不能发我邮箱一份。biao.song@live.com
谢谢!  回复  更多评论
  

# re: SSO单点登录解决方案[转载][未登录] 2010-03-22 23:37 gongmingwind
写的不错,  回复  更多评论
  

# re: SSO单点登录解决方案[转载][未登录] 2010-11-29 14:06 test
@在
有道理,如果禁用了,估计就不行了,  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2011-03-04 16:03 zhangpeng
收益匪浅啊,谢谢您写的文章,您给的链接下载不了,能否麻烦您给我发一份单点登录的样例 谢谢了 邮箱:zhangpengsh@gmail.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载][未登录] 2011-04-21 15:42 芋头
大学毕业论文......很多话都是原封不动从文献上抄过来的...  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2011-06-13 11:44 houjinan
写的很不错,不过就是您说的地址下不了例子,麻烦有空给传一份好吗?houjinan@126.com
万分感谢!  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2011-06-13 11:44 houjinan
现在真的很需要啊!  回复  更多评论
  

# re: SSO单点登录解决方案[转载][未登录] 2011-06-29 10:14 alex
能否麻烦您给我发一份单点登录的样例 谢谢了
邮箱:tbjtt301@163.com
  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2011-07-21 14:52 安立国
能不能发我一份,多谢

anliguo131@gmail.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2011-10-10 21:12 niu
多谢分享!能不能也给我发一份啊?andynq678@163.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2012-03-16 11:02 张学锟
不错,顶  回复  更多评论
  

# re: SSO单点登录解决方案[转载][未登录] 2012-04-12 18:36 cary
能不能发我一份,谢谢分享!  回复  更多评论
  

# re: SSO单点登录解决方案[转载][未登录] 2012-09-12 14:24 xiaoyu
461149132@163.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2012-09-25 16:40 wcg
博主,关于多个域 名跨域 的问题

验证这一块方案是可行的,

但是在退出的时候如果清空所有站点的ticket

比如有十个域名需要单点登录,那退出的时候页面跳转十次去不同的域 删cookies?  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2012-11-23 17:03 小草
写的非常好,但是您说的地址下不了例子,麻烦有空给传一份好吗?wyf0722@qq.com
万分感谢!  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2012-11-28 12:34 烟锁池塘柳
谢谢了!受益匪浅,上面的例子不能下载,麻烦有时间的时候,发一份给好吗?1075249793@qq.com。  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2013-01-31 14:39 钟超
受益良多,上面提到的例子不能下载,能不能抽空发给我一分?32027357@qq.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2013-04-11 23:00 tiankong
能发我一份吗 谢谢 liuwuping1206@163.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2013-08-16 18:16 songYanJun
收益匪浅啊,谢谢您写的文章,您给的链接下载不了,能否麻烦您给我发一份单点登录的样例 谢谢了 邮箱:song.yanjun@foxmail.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2013-09-13 09:58 pant
您好,源代码给我发一份吧 我的邮箱是hanlin6427@126.com 多谢~   回复  更多评论
  

# re: SSO单点登录解决方案[转载][未登录] 2013-09-13 14:14 啊啊
要是有源码就更好了  回复  更多评论
  

# re: SSO单点登录解决方案[转载][未登录] 2013-09-13 14:15 sanyaoun
您好,源代码能给我发一份吗 我的邮箱是sanyaocun@126.com   回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2013-09-28 22:32 都市农民
您好,我现在做的一个单点登陆项目 注销不了 求源代码 万分感谢 xiaoyao_cheng@sina.cn  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2013-10-22 14:50 snps
非常感谢你提供的内容,我也想求一份源码看一下,谢谢!
snps0201@163.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2013-11-23 15:24 东方蜘蛛
你的内容下载不了,能不能发我邮箱lu_jun_shen@163.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载][未登录] 2014-01-06 17:41 K2
您好,我现在做的一个单点登陆项目 注销不了 求源代码 万分感谢
xiaobaotyw@163.com   回复  更多评论
  

# re: SSO单点登录解决方案[转载][未登录] 2014-01-09 14:38 求知者
麻烦给我发一份源码,谢谢making-chance@163.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2014-02-14 11:05 SSO
文章写的非常不错,麻烦发一份源码给我,谢谢。
邮箱:js-java@163.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2014-03-11 11:57 morningao
同求源码一份,494121270@qq.com。  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2014-03-11 14:04 蔡飞飞
同求源码一份,674497665@qq.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2014-03-18 22:43 tianchao
@求知者
同求源码一份 453032623@qq.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载][未登录] 2014-03-20 11:07 bluestone
写得很通俗  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2014-03-31 10:48 liu feng
文章写的很好,麻烦发一份源码给我,谢谢。

邮箱 love_liuhongfeng@163.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2014-03-31 11:27 真心求知
求源码,谢谢,lvxdoo@sohu.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2014-06-10 16:45 xiong
求源码,谢谢,zhou_yanxiong@126.com   回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2014-06-18 15:48 xiaolin
不错,求源码zhangxiaolin198313@163.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2014-07-11 16:32 ......
~\(≧▽≦)/~啦啦啦、不是很懂,例子的地址连接好像出问题了,求一份,ghostjx3@sina.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2014-07-20 10:28 01jiangwei01
作者写的很好,看完后很受启发。求源码01jiangwei01@163.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2014-09-09 09:58 richerad
LZ下载地址无法显示啊,很牛方法,麻烦发一下源码。谢谢!710737724@qq.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2014-09-16 16:25 syy
看不到,还有退出时需要每个都清除一遍吗?求代码 谢谢 472441738@qq.com
  回复  更多评论
  

# re: SSO单点登录解决方案[转载][未登录] 2014-10-02 21:28 w
打不开,求示例源码66507726@qq.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载][未登录] 2014-10-30 13:53 wyh
很易懂的呢~ 很稀饭! 能发下源码吗 亲~ 谢谢啦~ 695100437@qq.com !  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2015-01-04 10:46 per
源代码能发我一份吗 1439226817@qq.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2015-01-07 17:03 tiaotiao
源代码能发我一份吗 345879297@qq.com,谢谢!  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2015-01-19 14:23 xiaofu
同求一份源码  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2015-01-19 14:24 xiaofu
@xiaofu
csuzt2011@163.com   回复  更多评论
  

# re: SSO单点登录解决方案[转载][未登录] 2015-02-26 10:16 小辉
你好,关于跨域实现单点登录,并且两个应用服务器都没有域名的情况如何实现,求源代码。547891410@qq.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2015-03-26 10:31 小王
您好!源码链接网页打不开了,求一份源码,306400815@qq.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2015-07-06 10:10 llg
不错。给我来一份llghaier@163.com。谢谢  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2015-11-03 14:21 小唐
同求源码,现在工作上的需求,必须学会这个东西啊,邮箱513969273@qq.com  回复  更多评论
  

# re: SSO单点登录解决方案[转载][未登录] 2016-01-13 17:41 hl
文章真心不错,案例没法下载,来一份学习学习啊,邮箱2733328527@qq。com  回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2016-05-10 15:55 李白任
文章写的好 。。源码 这边可以分享 ++Q 838997627   回复  更多评论
  

# re: SSO单点登录解决方案[转载] 2016-06-02 09:27 人人
@小王求源码,441628245@qq.com 谢谢
  回复  更多评论
  


只有注册用户登录后才能发表评论。


网站导航: