单点登录流程图，单点登录实现流程

单点登录（SSO）实现流程全解析

一、单点登录概述

单点登录（Single Sign - On，SSO）是一种身份验证机制，它允许用户使用一组凭据（如用户名和密码）登录到多个相关但独立的系统或应用程序中，而无需在每个系统中单独进行登录操作，这大大提高了用户体验，减少了用户管理多个账户密码的麻烦，同时也便于企业对用户身份和权限进行集中管理。

二、单点登录实现流程

图片来源于网络，如有侵权联系删除

1、用户请求访问应用系统

- 当用户尝试访问某个受保护的应用系统（例如企业内部的财务系统）时，应用系统首先检查用户是否已经登录，如果用户未登录，应用系统会将用户重定向到单点登录系统的登录页面，这个重定向操作通常包含一些参数，如应用系统的标识（用于单点登录系统识别用户请求登录后应重定向回哪个应用系统）等。

2、单点登录系统登录界面

- 用户到达单点登录系统的登录页面后，输入其用户名和密码，这一界面是单点登录系统统一提供的，它负责验证用户的身份信息。

- 在用户输入信息后，单点登录系统会对用户名和密码进行验证，这可能涉及到与用户存储库（如数据库）的交互，查询用户表中是否存在匹配的用户名和密码记录，如果验证失败，单点登录系统会提示用户错误信息，如“用户名或密码错误”，并允许用户重新输入。

3、创建会话并颁发令牌

- 如果用户名和密码验证成功，单点登录系统会创建一个全局会话（Global Session），这个会话记录了用户的登录状态、身份信息等。

- 单点登录系统会颁发一个令牌（Token）给用户，这个令牌是一种安全的标识，它包含了用户的身份信息、权限信息以及其他相关元数据，令牌可以是基于各种技术实现的，如JSON Web Token（JWT）等，JWT是一种紧凑的、自包含的方式，用于在各方之间安全地传输信息，它由三部分组成：头部（Header）、载荷（Payload）和签名（Signature），头部包含令牌的类型和加密算法等信息，载荷包含用户的声明信息（如用户ID、用户名等），签名则用于验证令牌的完整性和真实性。

4、重定向回应用系统

图片来源于网络，如有侵权联系删除

- 单点登录系统会根据最初应用系统发送的重定向请求中的参数，将用户重定向回最初请求访问的应用系统，在重定向过程中，会将颁发的令牌一起传递给应用系统。

5、应用系统验证令牌

- 应用系统接收到用户和令牌后，会对令牌进行验证，如果应用系统使用JWT，它会验证签名以确保令牌没有被篡改，并且检查令牌中的声明信息（如有效期等）是否有效。

- 应用系统还会根据令牌中的用户身份信息和权限信息，确定用户在本应用系统中的访问权限，如果用户在单点登录系统中的权限为普通员工，而应用系统中有一些特定功能是只有管理员才能访问的，那么应用系统会根据这些权限信息限制用户的访问。

6、建立本地会话（可选）

- 一些应用系统可能会在验证令牌成功后，建立自己的本地会话，这个本地会话可以用于存储应用系统特定的用户状态信息，如用户在应用系统中的操作历史等，不过，这个本地会话的存在与否并不影响单点登录的核心功能，它只是为了更好地满足应用系统自身的需求。

7、用户访问应用系统资源

- 经过上述步骤后，用户就可以成功访问应用系统中的资源了，在用户后续的操作过程中，只要令牌仍然有效，用户就无需再次登录，如果令牌过期或者用户主动注销登录（在单点登录系统中执行注销操作，单点登录系统会通知相关的应用系统销毁本地会话并清除相关的登录状态信息），则用户需要重新进行登录流程。

三、单点登录中的安全考虑

图片来源于网络，如有侵权联系删除

1、令牌安全

- 令牌的安全性至关重要，如果令牌被窃取，攻击者可能会冒充合法用户访问应用系统，在传输过程中，令牌应该使用安全的协议（如HTTPS）进行传输，以防止令牌在网络传输过程中被窃取或篡改。

- 对于令牌的存储，应用系统也需要采取安全措施，在浏览器端存储JWT时，可以使用浏览器的本地存储（Local Storage）或会话存储（Session Storage），并且要注意防范跨站脚本攻击（XSS）等安全威胁，防止攻击者通过恶意脚本获取令牌。

2、用户存储库安全

- 单点登录系统中的用户存储库（包含用户的用户名、密码等敏感信息）需要严格的安全保护，数据库应该进行加密存储，例如使用哈希算法（如BCrypt等）对用户密码进行哈希处理后存储，这样，即使数据库被攻破，攻击者也难以获取用户的原始密码。

3、跨域安全

- 在涉及多个不同域名的应用系统进行单点登录时，需要考虑跨域安全问题，跨域资源共享（CORS）策略需要被正确配置，以确保单点登录系统和应用系统之间能够安全地交互，单点登录系统的域名是sso.example.com，应用系统的域名是app.example.com，那么在应用系统中需要正确配置CORS策略，允许来自sso.example.com的请求（如包含令牌的验证请求等）。

单点登录的实现涉及多个环节的紧密配合，从用户请求到最终的资源访问，每个步骤都需要考虑安全性、用户体验和系统兼容性等多方面的因素，通过合理的设计和实现，可以为企业和用户提供高效、安全的身份验证解决方案。

标签： #单点登录 #流程图 #实现 #流程