《单点登录（SSO）：原理剖析与相关概念辨析》
图片来源于网络，如有侵权联系删除
一、单点登录（SSO）概述
单点登录（Single Sign - On，SSO）是一种身份验证机制，旨在让用户使用单一的一组凭据（如用户名和密码）访问多个相关但独立的软件系统或应用程序，在企业或复杂的软件生态系统中，存在许多不同功能的应用，例如企业资源规划（ERP）系统、客户关系管理（CRM）系统、办公自动化系统等，用户如果需要分别登录每个系统，不仅操作繁琐，而且容易遗忘密码等登录信息，SSO就是为了解决这个问题而诞生的。
二、单点登录（SSO）的实现原理
1、统一身份认证中心（Identity Provider，IdP）
- SSO系统通常依赖于一个统一的身份认证中心，这个中心负责存储用户的身份信息，包括用户名、密码（通常以加密形式存储）以及用户的相关属性（如角色、权限等），当用户尝试登录任何一个与SSO集成的应用时，应用会将用户重定向到身份认证中心。
- 在一个大型企业中，身份认证中心可能是一个专门构建的服务器，它管理着企业内所有员工的账户信息，员工登录企业内部的财务系统、人力资源系统等都要先经过这个身份认证中心的验证。
2、用户认证流程
- 初始登录：用户首次访问某个与SSO集成的应用（称为服务提供商，Service Provider，SP）时，SP会检测到用户未经过身份验证，然后SP将用户重定向到IdP，并携带一些必要的信息，如应用的标识（用于IdP识别是哪个应用在请求认证）。
图片来源于网络，如有侵权联系删除
- 身份验证：用户在IdP提供的登录页面输入用户名和密码，IdP对用户输入的凭据进行验证，如果验证成功，IdP会创建一个安全的会话（Session）来表示用户已经成功登录。
- 生成令牌（Token）：IdP会生成一个令牌，这个令牌包含用户的身份信息以及一些用于验证的签名等，令牌可以是多种形式，如JSON Web Token（JWT）等，JWT是一种紧凑、自包含的方式，用于在各方之间安全地传输信息。
- 回传令牌：IdP将生成的令牌通过重定向的方式回传给SP，SP接收到令牌后，会对令牌进行验证，SP可以通过验证令牌中的签名来确保令牌的真实性，并且可以解析令牌获取用户的身份信息。
- 本地会话建立：SP根据令牌中的用户身份信息在本地建立一个会话，这样用户就可以在这个SP应用中进行操作了，后续用户再访问这个SP应用时，只要这个本地会话未过期，就不需要再次登录。
3、单点注销（Single Logout）
- 当用户从SSO系统中注销时，也遵循类似的机制，用户在任何一个SP应用中发起注销请求，SP会通知IdP用户要注销，IdP会清除与该用户相关的会话信息，并且会通知其他与该用户有会话的SP应用也进行注销操作，这样就确保了用户在所有相关应用中的登录状态都被清除。
4、安全考虑
- 在SSO系统中，安全是至关重要的，身份认证中心与服务提供商之间的通信必须是安全的，通常采用加密的传输协议，如HTTPS，令牌的安全性也需要保障，防止令牌被窃取或篡改，对于JWT来说，签名机制可以防止令牌被篡改，但是令牌的有效期等安全策略也需要合理设置，如果令牌的有效期过长，一旦令牌被盗取，恶意用户就有更多的时间利用这个令牌进行非法访问。
图片来源于网络，如有侵权联系删除
三、单点登录和SSO的区别（实际上单点登录就是SSO，这里从误解的角度进行辨析）
在概念上，单点登录就是SSO，不存在本质区别，但可能存在一些误解导致人们认为有区别。
1、术语混淆方面
- 有些人可能将单点登录视为一种宽泛的概念，而SSO视为具体的技术实现，但实际上，SSO就是单点登录这个概念的标准技术名称，在一些企业内部交流中，可能有人会说“我们要实现单点登录”，这里的单点登录就是指SSO这种技术方案。
2、功能认知差异
- 部分人可能认为单点登录只是简单地减少登录次数，而没有深入理解SSO完整的功能，如统一身份管理、权限控制等，SSO不仅仅是让用户少输入几次用户名和密码，它还涉及到对用户身份的集中管理，根据用户的角色和权限来控制其对不同应用的访问，在一个企业的SSO系统中，财务部门的员工在登录到财务系统时，可能具有完全的操作权限，但在登录到人力资源系统时，可能只有查看部分信息的权限，这种基于身份的权限管理是SSO的重要组成部分。
单点登录和SSO本质上是相同的概念，SSO是单点登录的标准技术实现，涵盖了从身份认证、令牌管理到权限控制等一系列复杂而又相互关联的功能。
评论列表