单点登录简单实现
一、引言
在当今的互联网应用中，用户常常需要登录多个不同的系统来获取所需的服务，频繁地输入用户名和密码不仅繁琐，而且存在安全风险，单点登录（Single Sign-On，SSO）技术应运而生，它允许用户只需在一个地方进行一次登录，就可以访问多个相互信任的系统，而无需在每个系统中再次登录，本文将介绍单点登录的三种常见实现方式，并通过实际代码示例进行演示。
二、单点登录的三种实现方式
1、基于 Cookie 的单点登录
- 原理：在用户登录成功后，服务器将用户的登录信息（如用户名、密码等）加密后存储在 Cookie 中，并在后续的请求中携带该 Cookie，其他系统在接收到请求时，会检查 Cookie 中是否包含有效的登录信息，如果存在，则认为用户已经登录，无需再次登录。
- 优点：实现简单，易于理解和部署。
- 缺点：Cookie 是存储在客户端的，存在被篡改或窃取的风险，安全性较低，Cookie 的大小和数量也有限制，不能存储大量的登录信息。
2、基于 Session 的单点登录
- 原理：在用户登录成功后，服务器会在内存中创建一个 Session，并将用户的登录信息存储在 Session 中，服务器在后续的请求中会将 Session ID 作为 Cookie 发送给客户端，客户端在后续的请求中会携带 Session ID，其他系统在接收到请求时，会根据 Session ID 从服务器中获取对应的 Session，并检查 Session 中是否包含有效的登录信息，如果存在，则认为用户已经登录，无需再次登录。
- 优点：安全性较高，Session 是存储在服务器端的，不会被篡改或窃取，Session 可以存储大量的登录信息，不受 Cookie 大小和数量的限制。
- 缺点：实现相对复杂，需要考虑 Session 的管理和分布式部署等问题。
3、基于令牌（Token）的单点登录
- 原理：在用户登录成功后，服务器会生成一个令牌（Token），并将令牌作为响应返回给客户端，客户端在后续的请求中会携带令牌，其他系统在接收到请求时，会验证令牌的有效性，如果令牌有效，则认为用户已经登录，无需再次登录。
- 优点：安全性较高，令牌是由服务器生成的，不会被篡改或窃取，令牌可以在一定时间内有效，不需要频繁地登录。
- 缺点：实现相对复杂，需要考虑令牌的生成、存储、验证和过期等问题。
三、基于 Cookie 的单点登录实现
下面是一个基于 Cookie 的单点登录的简单示例代码，使用 Java 语言实现。
1、创建用户登录服务
@Service
public class UserLoginService {
// 模拟用户登录
public boolean login(String username, String password) {
// 这里可以根据实际情况进行用户验证
if ("admin".equals(username) && "123456".equals(password)) {
return true;
}
return false;
}
}2、创建单点登录控制器
@Controller
public class SSOController {
@Autowired
private UserLoginService userLoginService;
// 用户登录请求处理方法
@PostMapping("/login")
public String login(@RequestParam("username") String username, @RequestParam("password") String password, HttpServletResponse response) {
if (userLoginService.login(username, password)) {
// 登录成功，将用户信息存储在 Cookie 中
Cookie cookie = new Cookie("user", username);
response.addCookie(cookie);
return "redirect:/dashboard";
} else {
// 登录失败，返回登录页面
return "login";
}
}
// 单点登录验证请求处理方法
@GetMapping("/dashboard")
public String dashboard(HttpServletRequest request) {
// 从 Cookie 中获取用户信息
Cookie[] cookies = request.getCookies();
if (cookies!= null) {
for (Cookie cookie : cookies) {
if ("user".equals(cookie.getName())) {
// 用户已登录，跳转到仪表盘页面
return "dashboard";
}
}
}
// 用户未登录，返回登录页面
return "redirect:/login";
}
}3、创建登录页面和仪表盘页面
<!-- 登录页面 -->
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>登录</title>
</head>
<body>
<form action="/login" method="post">
<label for="username">用户名：</label><input type="text" id="username" name="username"><br>
<label for="password">密码：</label><input type="password" id="password" name="password"><br>
<input type="submit" value="登录">
</form>
</body>
</html>
<!-- 仪表盘页面 -->
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>仪表盘</title>
</head>
<body>
<h2>欢迎来到仪表盘页面！</h2>
</body>
</html>4、启动应用程序
@SpringBootApplication
public class SSOApplication {
public static void main(String[] args) {
SpringApplication.run(SSOApplication.class, args);
}
}在上述示例代码中，我们创建了一个简单的用户登录服务和单点登录控制器，用户登录成功后，服务器会将用户信息存储在 Cookie 中，并在后续的请求中携带该 Cookie，其他系统在接收到请求时，会检查 Cookie 中是否包含有效的登录信息，如果存在，则认为用户已经登录，无需再次登录。
四、基于 Session 的单点登录实现
下面是一个基于 Session 的单点登录的简单示例代码，使用 Java 语言实现。
1、创建用户登录服务
@Service
public class UserLoginService {
// 模拟用户登录
public boolean login(String username, String password) {
// 这里可以根据实际情况进行用户验证
if ("admin".equals(username) && "123456".equals(password)) {
return true;
}
return false;
}
}2、创建单点登录控制器
@Controller
public class SSOController {
@Autowired
private UserLoginService userLoginService;
// 用户登录请求处理方法
@PostMapping("/login")
public String login(@RequestParam("username") String username, @RequestParam("password") String password, HttpServletRequest request, HttpServletResponse response) {
if (userLoginService.login(username, password)) {
// 登录成功，创建 Session 并将用户信息存储在 Session 中
HttpSession session = request.getSession();
session.setAttribute("user", username);
// 设置 Session 的过期时间为 30 分钟
session.setMaxInactiveInterval(30 * 60);
return "redirect:/dashboard";
} else {
// 登录失败，返回登录页面
return "login";
}
}
// 单点登录验证请求处理方法
@GetMapping("/dashboard")
public String dashboard(HttpServletRequest request) {
// 从 Session 中获取用户信息
HttpSession session = request.getSession();
String username = (String) session.getAttribute("user");
if (username!= null) {
// 用户已登录，跳转到仪表盘页面
return "dashboard";
} else {
// 用户未登录，返回登录页面
return "redirect:/login";
}
}
}3、创建登录页面和仪表盘页面
<!-- 登录页面 -->
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>登录</title>
</head>
<body>
<form action="/login" method="post">
<label for="username">用户名：</label><input type="text" id="username" name="username"><br>
<label for="password">密码：</label><input type="password" id="password" name="password"><br>
<input type="submit" value="登录">
</form>
</body>
</html>
<!-- 仪表盘页面 -->
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>仪表盘</title>
</head>
<body>
<h2>欢迎来到仪表盘页面！</h2>
</body>
</html>4、启动应用程序
@SpringBootApplication
public class SSOApplication {
public static void main(String[] args) {
SpringApplication.run(SSOApplication.class, args);
}
}在上述示例代码中，我们创建了一个简单的用户登录服务和单点登录控制器，用户登录成功后，服务器会创建一个 Session，并将用户信息存储在 Session 中，服务器在后续的请求中会将 Session ID 作为 Cookie 发送给客户端，客户端在后续的请求中会携带 Session ID，其他系统在接收到请求时，会根据 Session ID 从服务器中获取对应的 Session，并检查 Session 中是否包含有效的登录信息，如果存在，则认为用户已经登录，无需再次登录。
五、基于令牌（Token）的单点登录实现
下面是一个基于令牌（Token）的单点登录的简单示例代码，使用 Java 语言实现。
1、创建用户登录服务
@Service
public class UserLoginService {
// 模拟用户登录
public boolean login(String username, String password) {
// 这里可以根据实际情况进行用户验证
if ("admin".equals(username) && "123456".equals(password)) {
return true;
}
return false;
}
// 生成令牌
public String generateToken(String username) {
// 这里可以使用随机数生成令牌
return UUID.randomUUID().toString();
}
// 验证令牌
public boolean validateToken(String token) {
// 这里可以根据实际情况验证令牌的有效性
return true;
}
}2、创建单点登录控制器
@Controller
public class SSOController {
@Autowired
private UserLoginService userLoginService;
// 用户登录请求处理方法
@PostMapping("/login")
public String login(@RequestParam("username") String username, @RequestParam("password") String password, HttpServletResponse response) {
if (userLoginService.login(username, password)) {
// 登录成功，生成令牌并将令牌作为响应返回给客户端
String token = userLoginService.generateToken(username);
response.setHeader("Authorization", "Bearer " + token);
return "redirect:/dashboard";
} else {
// 登录失败，返回登录页面
return "login";
}
}
// 单点登录验证请求处理方法
@GetMapping("/dashboard")
public String dashboard(HttpServletRequest request) {
// 从请求头中获取令牌
String token = request.getHeader("Authorization");
if (token!= null && token.startsWith("Bearer ")) {
// 去除令牌前缀
token = token.substring(7);
// 验证令牌的有效性
if (userLoginService.validateToken(token)) {
// 令牌有效，跳转到仪表盘页面
return "dashboard";
}
}
// 令牌无效或不存在，返回登录页面
return "redirect:/login";
}
}3、创建登录页面和仪表盘页面
<!-- 登录页面 -->
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>登录</title>
</head>
<body>
<form action="/login" method="post">
<label for="username">用户名：</label><input type="text" id="username" name="username"><br>
<label for="password">密码：</label><input type="password" id="password" name="password"><br>
<input type="submit" value="登录">
</form>
</body>
</html>
<!-- 仪表盘页面 -->
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>仪表盘</title>
</head>
<body>
<h2>欢迎来到仪表盘页面！</h2>
</body>
</html>4、启动应用程序
@SpringBootApplication
public class SSOApplication {
public static void main(String[] args) {
SpringApplication.run(SSOApplication.class, args);
}
}在上述示例代码中，我们创建了一个简单的用户登录服务和单点登录控制器，用户登录成功后，服务器会生成一个令牌，并将令牌作为响应返回给客户端，客户端在后续的请求中会将令牌携带在请求头中，其他系统在接收到请求时，会从请求头中获取令牌，并验证令牌的有效性，如果令牌有效，则认为用户已经登录，无需再次登录。
六、总结
本文介绍了单点登录的三种常见实现方式，并通过实际代码示例进行了演示，基于 Cookie 的单点登录实现简单，但安全性较低；基于 Session 的单点登录实现相对复杂，但安全性较高；基于令牌的单点登录实现较为复杂，但安全性更高，在实际应用中，应根据具体情况选择合适的单点登录实现方式。
评论列表