sso单点登录什么意思，单点登录sso的实现原理是什么

单点登录（SSO）的实现原理深度剖析

一、单点登录（SSO）的含义

图片来源于网络，如有侵权联系删除

单点登录（Single Sign - On，简称SSO）是一种身份验证机制，它允许用户使用一组凭据（如用户名和密码）登录一次，然后就能够访问多个相互信任的应用系统，而无需在每个系统中单独进行登录操作，在一个大型企业内部，员工可能需要使用多个不同的业务系统，如办公自动化系统、人力资源管理系统、财务系统等，如果没有SSO，员工就需要在每个系统中分别输入用户名和密码进行登录，这不仅繁琐，而且容易出错，而有了SSO，员工只需登录一次，就可以无缝切换到其他相关系统，极大地提高了用户体验和工作效率。

二、单点登录（SSO）的实现原理

1、基于Cookie的SSO实现原理

用户首次登录

- 当用户访问第一个应用系统（我们称之为系统A）时，系统A会要求用户提供用户名和密码进行登录认证，用户输入正确的凭据后，系统A的认证服务器会对用户身份进行验证，如果验证通过，认证服务器会在用户的浏览器端设置一个Cookie，这个Cookie包含了与用户身份相关的信息，例如用户标识、会话标识等，这个Cookie的作用域（domain）和路径（path）会被设置为可以被其他相关的应用系统共享，如果企业内部的多个应用系统都属于同一个二级域名（如app1.example.com、app2.example.com等），那么可以将Cookie的domain设置为.example.com，这样不同的子域名应用都可以访问这个Cookie。

访问其他系统

- 当用户想要访问另一个应用系统（系统B）时，系统B会检测到浏览器中存在由系统A设置的Cookie，系统B会将这个Cookie发送到自己的服务器端，然后系统B的服务器会与系统A的认证服务器进行交互，系统B的服务器会请求系统A的认证服务器验证这个Cookie中的用户身份信息是否有效，系统A的认证服务器会根据Cookie中的信息进行验证，如果验证通过，系统B就会认为用户已经登录，从而允许用户访问系统B的资源，而无需再次输入用户名和密码。

2、基于SAML（安全断言标记语言）的SSO实现原理

身份提供商（IdP）和服务提供商（SP）

- 在基于SAML的SSO架构中，存在身份提供商（IdP）和服务提供商（SP）两个重要角色，身份提供商负责管理用户的身份信息并进行认证，例如企业内部的集中式身份管理系统，服务提供商则是各个需要进行单点登录的应用系统。

图片来源于网络，如有侵权联系删除

用户登录过程

- 当用户访问服务提供商（SP）的应用系统时，SP会将用户重定向到身份提供商（IdP）的登录页面，用户在IdP的登录页面输入用户名和密码进行登录，IdP进行身份验证后，会生成一个包含用户身份信息的SAML断言，这个断言是一种XML格式的文档，其中包含了如用户名、用户角色、认证时间等信息。

断言传递与验证

- IdP会将生成的SAML断言通过用户的浏览器重定向回SP，SP接收到SAML断言后，会对断言进行验证，SP会根据预先配置的与IdP的信任关系，验证断言的签名、有效期等信息，如果验证通过，SP就会根据断言中的用户身份信息为用户创建会话，允许用户访问其资源。

3、基于OAuth的SSO实现原理（常用于互联网应用）

授权服务器、资源服务器和客户端

- 在OAuth框架下，有授权服务器、资源服务器和客户端三个主要组成部分，授权服务器负责对用户进行身份认证和授权，资源服务器存储用户的资源数据（如用户的照片、文档等），客户端则是各个需要访问用户资源的应用（如第三方应用）。

授权流程

- 当用户想要使用第三方应用（客户端）访问某个资源时，客户端会将用户重定向到授权服务器的授权页面，用户在授权页面同意授权后，授权服务器会颁发一个访问令牌（access token），这个访问令牌包含了用户的授权信息。

资源访问

图片来源于网络，如有侵权联系删除

- 客户端使用这个访问令牌向资源服务器请求用户的资源，资源服务器会验证访问令牌的有效性，如果有效，就会向客户端提供相应的资源，在单点登录场景下，多个客户端可以共享这个授权流程，用户只需在授权服务器进行一次授权操作，就可以使用多个客户端访问相关资源。

三、单点登录（SSO）的安全考量

1、Cookie安全

- 在基于Cookie的SSO中，Cookie的安全性至关重要，如果Cookie被窃取，攻击者可能会冒充合法用户访问应用系统，需要对Cookie进行加密处理，例如使用SSL/TLS加密传输Cookie，并且在Cookie中设置安全标志（如HttpOnly和Secure标志），HttpOnly标志可以防止JavaScript脚本访问Cookie，从而避免跨站脚本攻击（XSS）导致Cookie泄露；Secure标志则确保Cookie只在安全的HTTPS连接下传输。

2、信任关系管理

- 在基于SAML和OAuth等的SSO实现中，身份提供商与服务提供商（或者授权服务器与客户端）之间的信任关系管理是关键，需要严格验证对方的身份，例如通过数字证书等方式，要确保断言或访问令牌在传输过程中的完整性和保密性，防止被篡改或窃取。

3、用户身份管理

- 单点登录依赖于集中式的用户身份管理，身份提供商需要有强大的用户身份验证机制，如多因素认证（密码 + 验证码、密码+令牌等），以确保登录用户的身份真实性，在用户身份信息发生变更（如密码修改、用户权限变更等）时，要及时同步到各个相关的应用系统，以保证SSO的正常运行。

单点登录（SSO）通过一系列的技术手段实现了用户在多个应用系统中的一次性登录，提高了用户体验和管理效率，但在实现过程中也需要充分考虑安全因素，以保障企业和用户的信息安全。

标签： #sso #单点登录 #含义 #实现原理