单点登录的三种实现方式简书，单点登录详细教程

欧气 2024年09月28日 13:10 5 0

单点登录详细教程

一、引言

在当今的互联网时代，用户需要在多个应用程序和网站上进行身份验证，单点登录（Single Sign-On，SSO）是一种解决方案，它允许用户使用一组凭证在多个应用程序中进行身份验证，而无需在每个应用程序中重新输入用户名和密码，单点登录可以提高用户体验，减少管理成本，并提高安全性，本文将介绍单点登录的三种实现方式：基于 Cookie 的 SSO、基于令牌的 SSO 和基于 OpenID Connect 的 SSO。

二、基于 Cookie 的 SSO

基于 Cookie 的 SSO 是最常见的单点登录实现方式之一，它的基本思想是在用户首次登录时，将用户的身份验证信息存储在 Cookie 中，在用户访问其他应用程序时，应用程序会检查 Cookie 中是否存在用户的身份验证信息，如果存在，则应用程序会使用该信息进行身份验证，而无需用户再次输入用户名和密码。

基于 Cookie 的 SSO 的优点是简单易用，不需要额外的服务器端支持，它的缺点是安全性较低，因为 Cookie 可以被窃取或篡改，基于 Cookie 的 SSO 只能在同一域下工作，不能跨域工作。

以下是一个基于 Cookie 的 SSO 的示例代码：

from flask import Flask, request, make_response
app = Flask(__name__)
设置用户身份验证信息
user = {
    "username": "admin",
    "password": "123456"
}
登录路由
@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'POST':
        username = request.form['username']
        password = request.form['password']
        if username == user['username'] and password == user['password']:
            # 设置 Cookie
            response = make_response('登录成功')
            response.set_cookie('username', username)
            return response
        else:
            return '用户名或密码错误'
    else:
        return '''
            <form method="post">
                <input type="text" name="username" placeholder="用户名">
                <input type="password" name="password" placeholder="密码">
                <input type="submit" value="登录">
            </form>
        '''
受保护的路由
@app.route('/protected')
def protected():
    username = request.cookies.get('username')
    if username:
        return f'欢迎 {username} 访问受保护的页面'
    else:
        return '请先登录'
if __name__ == '__main__':
    app.run()

在上述代码中，我们使用 Flask 框架创建了一个简单的 Web 应用程序，该应用程序包含两个路由：/login 和/protected。/login 路由用于处理用户的登录请求，它会检查用户输入的用户名和密码是否正确，如果正确，它会设置一个名为username 的 Cookie，并将用户重定向到/protected 路由。/protected 路由用于处理受保护的页面请求，它会检查用户是否已经登录，如果已经登录，它会显示欢迎消息，如果没有登录，它会重定向到/login 路由。

三、基于令牌的 SSO

基于令牌的 SSO 是一种更安全的单点登录实现方式，它的基本思想是在用户首次登录时，应用程序会生成一个令牌，并将该令牌存储在服务器端，应用程序会将该令牌返回给用户，并将其存储在 Cookie 中，在用户访问其他应用程序时，应用程序会检查 Cookie 中是否存在令牌，如果存在，则应用程序会将令牌发送到服务器端进行验证，如果验证通过，则应用程序会使用该令牌进行身份验证，而无需用户再次输入用户名和密码。

基于令牌的 SSO 的优点是安全性较高，因为令牌是由服务器端生成的，并且可以定期更新，它的缺点是实现较为复杂，需要额外的服务器端支持，基于令牌的 SSO 可以跨域工作，但需要在服务器端进行额外的配置。

以下是一个基于令牌的 SSO 的示例代码：

from flask import Flask, request, make_response, jsonify
import jwt
import datetime
app = Flask(__name__)
设置密钥
app.config['SECRET_KEY'] = 'your_secret_key'
登录路由
@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'POST':
        username = request.form['username']
        password = request.form['password']
        if username == 'admin' and password == '123456':
            # 生成令牌
            payload = {
                'username': username,
                'exp': datetime.datetime.utcnow() + datetime.timedelta(minutes=30)
            }
            token = jwt.encode(payload, app.config['SECRET_KEY'], algorithm='HS256')
            # 设置 Cookie
            response = make_response('登录成功')
            response.set_cookie('token', token)
            return response
        else:
            return '用户名或密码错误'
    else:
        return '''
            <form method="post">
                <input type="text" name="username" placeholder="用户名">
                <input type="password" name="password" placeholder="密码">
                <input type="submit" value="登录">
            </form>
        '''
受保护的路由
@app.route('/protected')
def protected():
    token = request.cookies.get('token')
    if token:
        try:
            # 验证令牌
            payload = jwt.decode(token, app.config['SECRET_KEY'], algorithms=['HS256'])
            username = payload['username']
            return f'欢迎 {username} 访问受保护的页面'
        except jwt.ExpiredSignatureError:
            return '令牌已过期，请重新登录'
        except jwt.InvalidTokenError:
            return '无效的令牌，请重新登录'
    else:
        return '请先登录'
if __name__ == '__main__':
    app.run()

在上述代码中，我们使用 Flask 框架创建了一个简单的 Web 应用程序，该应用程序包含两个路由：/login 和/protected。/login 路由用于处理用户的登录请求，它会检查用户输入的用户名和密码是否正确，如果正确，它会生成一个令牌，并将其存储在 Cookie 中。/protected 路由用于处理受保护的页面请求，它会检查 Cookie 中是否存在令牌，如果存在，它会验证令牌的有效性，如果验证通过，它会显示欢迎消息，如果验证失败，它会重定向到/login 路由。

四、基于 OpenID Connect 的 SSO

基于 OpenID Connect 的 SSO 是一种基于 OAuth 2.0 协议的单点登录实现方式，它的基本思想是在用户首次登录时，应用程序会引导用户到身份提供程序（Identity Provider，IdP）进行身份验证，身份提供程序会验证用户的身份，并将用户的身份信息返回给应用程序，应用程序会使用身份提供程序返回的身份信息进行身份验证，并将用户重定向到应用程序的受保护页面。

基于 OpenID Connect 的 SSO 的优点是安全性较高，因为它基于 OAuth 2.0 协议，并且可以与多种身份提供程序集成，它的缺点是实现较为复杂，需要额外的服务器端支持，基于 OpenID Connect 的 SSO 可以跨域工作，但需要在服务器端进行额外的配置。

以下是一个基于 OpenID Connect 的 SSO 的示例代码：

from flask import Flask, request, redirect, url_for
from authlib.integrations.flask_client import OAuth
app = Flask(__name__)
设置 OAuth 客户端配置
oauth = OAuth(app)
oauth.register(
   'my_idp',
    client_id='your_client_id',
    client_secret='your_client_secret',
    server_metadata_url='https://your_idp.com/.well-known/openid-configuration'
)
登录路由
@app.route('/login')
def login():
    return oauth.my_idp.authorize_redirect(
        redirect_uri=url_for('authorized', _external=True)
    )
授权回调路由
@app.route('/authorized')
def authorized():
    token = oauth.my_idp.authorize_access_token()
    # 使用令牌进行身份验证
    #...
    return '登录成功'
if __name__ == '__main__':
    app.run()

在上述代码中，我们使用 Flask 框架创建了一个简单的 Web 应用程序，该应用程序包含两个路由：/login 和/authorized。/login 路由用于处理用户的登录请求，它会引导用户到身份提供程序进行身份验证。/authorized 路由用于处理身份提供程序的授权回调请求，它会使用身份提供程序返回的令牌进行身份验证，并将用户重定向到应用程序的受保护页面。

五、总结

单点登录是一种提高用户体验和管理成本的解决方案，本文介绍了单点登录的三种实现方式：基于 Cookie 的 SSO、基于令牌的 SSO 和基于 OpenID Connect 的 SSO，每种实现方式都有其优缺点，开发人员可以根据自己的需求选择合适的实现方式。

标签： #单点登录 #实现方式 #简书 #详细教程