本文目录导读：
SSO跨域单点登录原理：构建无缝的多域身份认证体系
单点登录（SSO）概述
单点登录是一种身份认证机制，旨在使用户能够通过单一的凭据（如用户名和密码）访问多个相关但独立的应用系统或服务，在企业或大型互联网应用场景中，往往存在多个不同的业务系统，例如企业内部的办公系统、财务系统、人力资源系统等，用户如果针对每个系统都要单独登录，会带来极大的不便并且增加管理成本，SSO解决了这个问题，使用户只需要登录一次，就可以在多个系统间自由切换而无需再次输入登录信息。
跨域的概念
在网络环境中，域是指一个网络区域或范围，不同的域可能具有不同的域名、网络协议或者安全策略，跨域就是指在不同域之间进行交互操作，一个公司的主业务网站域名为example.com，而其旗下的某个子业务系统域名为sub.example.com，这就属于不同的域；再比如，公司内部系统使用私有网络协议和IP地址范围，与外部互联网应用之间进行交互，也是跨域的情况，在单点登录场景下，跨域问题的解决是实现SSO的关键挑战之一。
SSO跨域单点登录原理
（一）基于票据（Token）的跨域SSO原理
图片来源于网络，如有侵权联系删除
1、认证中心（Identity Provider，IdP）
- 这是单点登录体系中的核心组件，当用户首次尝试访问某个受保护的应用（称为服务提供商，Service Provider，SP）时，如果该应用检测到用户未登录，会将用户重定向到认证中心，用户访问sub.example.com的某个需要登录的页面，该页面发现用户未登录，就将用户重定向到公司统一的认证中心auth.example.com。
- 认证中心负责验证用户的身份信息，如用户名和密码，如果验证通过，认证中心会生成一个包含用户身份标识和相关权限信息的票据（Token），这个票据可以是一个加密的字符串，其中包含了用户的基本信息（如用户ID）、过期时间等重要数据。
2、票据传递与验证
- 认证中心生成票据后，会将票据通过重定向的方式回传给最初请求的服务提供商（sub.example.com），服务提供商接收到票据后，会将票据发送到认证中心进行验证，认证中心验证票据的有效性，包括检查签名是否正确、是否过期等，如果验证通过，服务提供商就认为用户已经成功登录，可以为用户提供相应的服务。
- 在跨域的情况下，由于浏览器的同源策略限制，直接传递票据可能会遇到问题，通常会采用一些跨域技术，如JSONP（JSON with Padding）或者CORS（Cross - Origin Resource Sharing）来实现票据在不同域之间的安全传递，当使用CORS时，服务提供商需要在其服务器端设置允许跨域的来源（origin），认证中心在返回票据时可以设置相应的跨域头信息，确保浏览器能够正确接收和传递票据。
（二）基于共享Cookie的跨域SSO原理
1、主域Cookie设置
- 在存在多个子域的情况下，可以在主域下设置一个共享的Cookie，在example.com主域下设置一个Cookie，其包含用户的登录状态信息，子域sub.example.com和其他相关子域都可以读取这个Cookie。
图片来源于网络，如有侵权联系删除
- 当用户在主域下登录成功后，认证中心会在主域下创建这个共享Cookie，这个Cookie的设置需要考虑安全性，例如设置合适的加密算法来保护Cookie中的数据，防止被篡改。
2、子域对共享Cookie的利用
- 当用户访问子域下的某个应用时，子域的应用可以检查主域下的共享Cookie，如果发现Cookie存在且有效，就认为用户已经登录，子域中的某个业务系统可以通过JavaScript代码或者服务器端脚本检查主域下的Cookie，获取用户的登录状态，从而避免用户再次登录，不过，这种方法也存在一定的局限性，如不同浏览器对Cookie的跨域共享支持程度可能不同，并且在涉及到完全不同的域（如example.com和otherdomain.com）时，共享Cookie的方法可能无法直接适用。
（三）基于SAML（Security Assertion Markup Language）的跨域SSO原理
1、SAML协议基础
- SAML是一种基于XML的开放标准，用于在不同的安全域之间交换身份验证和授权数据，在SAML - based SSO中，涉及到三个主要角色：身份提供者（IdP）、服务提供者（SP）和用户（User）。
- 当用户尝试访问服务提供者（SP）的资源时，SP会向IdP发送一个SAML请求，这个请求包含了关于用户请求访问的资源信息以及SP自身的标识等内容。
2、身份验证与断言
- IdP接收到SAML请求后，会对用户进行身份验证，如果验证成功，IdP会生成一个SAML断言（Assertion），这个断言包含了用户的身份信息、认证时间、授权信息等，然后IdP会将SAML断言以特定的方式（如通过HTTP重定向或者POST请求）返回给SP。
图片来源于网络，如有侵权联系删除
- SP接收到SAML断言后，会对断言进行验证，SP会检查断言的签名（以确保断言未被篡改）、验证IdP的身份（确保是信任的来源）等，如果验证通过，SP就会根据断言中的授权信息为用户提供相应的服务，在跨域场景下，SAML通过定义明确的协议和格式，使得不同域之间的身份验证和授权信息能够安全、准确地交换，克服了跨域带来的安全和互信问题。
SSO跨域单点登录的安全考虑
1、票据安全
- 在基于票据的SSO中，票据的安全性至关重要，票据应该采用强加密算法进行加密，防止票据被窃取后被恶意解密获取用户信息，可以采用AES（Advanced Encryption Standard）等加密算法对票据中的敏感信息进行加密，票据的有效期应该合理设置，既不能过长导致安全风险增加（如票据被盗用后可以长时间使用），也不能过短给用户带来频繁登录的困扰。
2、跨域安全策略
- 在使用跨域技术如CORS时，服务提供商必须谨慎设置允许跨域的来源，如果设置过于宽松，可能会导致恶意网站利用跨域漏洞进行攻击，如跨站请求伪造（CSRF）等，应该只允许信任的来源进行跨域访问，并且对于跨域请求进行严格的身份验证和授权检查。
3、身份提供者的信任管理
- 在基于SAML等协议的SSO中，服务提供者需要对身份提供者进行严格的信任管理，服务提供者应该验证身份提供者的数字证书，确保身份提供者的身份真实性，对于身份提供者返回的断言，要进行全面的验证，包括断言的格式、内容以及签名等方面的检查，防止恶意身份提供者发送虚假的断言信息。
SSO跨域单点登录通过一系列的技术手段和安全策略，解决了用户在多个不同域的应用系统中登录繁琐的问题，同时保障了系统的安全性和用户信息的隐私性，随着企业数字化转型和互联网应用的不断发展，SSO跨域单点登录技术将在提高用户体验和系统管理效率方面发挥越来越重要的作用。
评论列表