本文目录导读：
微服务单点登录的实现方式
单点登录概述
在微服务架构中，多个微服务共同构建一个复杂的业务系统，单点登录（Single Sign - On，SSO）是一种身份验证机制，允许用户使用一组凭据（如用户名和密码）登录一次，就能够访问多个相关的微服务，而无需在每个微服务中单独进行登录操作，这提高了用户体验，同时也便于系统的管理和安全控制。
基于共享会话的单点登录实现方式
（一）会话共享原理
图片来源于网络，如有侵权联系删除
1、中心会话存储
- 在这种方式下，会有一个专门的会话存储中心，例如可以使用Redis等内存数据库，当用户在认证服务登录成功后，认证服务会将会话信息（如用户标识、登录时间、权限信息等）存储到Redis中。
- 每个微服务在接收到用户请求时，会先到Redis中查询该用户的会话信息，以验证用户的身份和权限，一个电商系统中的订单微服务和商品微服务，都可以通过查询Redis中的会话信息来确定用户是否已登录并具有相应权限。
2、会话传播机制
- 为了使各个微服务能够获取到会话信息，需要一种会话传播机制，常见的方式是通过在HTTP请求头中传递会话标识（如Session ID）。
- 当用户首次登录认证服务时，认证服务除了将会话信息存储到Redis外，还会在响应中设置一个包含会话标识的Cookie给用户浏览器，随后，当用户浏览器向其他微服务发送请求时，会自动带上这个Cookie，每个微服务从请求头中获取到会话标识，然后到Redis中查询对应的会话信息进行身份验证。
（二）实现步骤
1、认证服务搭建
- 构建一个独立的认证微服务，负责用户的登录、注册和身份验证等功能，这个认证服务可以使用Spring Security等安全框架来实现用户身份验证逻辑。
- 当用户提交登录请求时，认证服务会验证用户名和密码是否匹配，若匹配则生成会话信息并存储到Redis中。
2、微服务集成
- 各个微服务需要集成会话验证逻辑，在微服务启动时，配置与Redis的连接，以便能够查询会话信息。
- 对于基于Java的微服务，可以使用Spring Boot框架，通过添加Redis依赖并配置相关属性来实现与Redis的交互，在每个微服务的拦截器或过滤器中，对传入的请求进行会话验证，如果会话验证失败，则拒绝请求并返回相应的错误信息，如401 Unauthorized。
三、基于JWT（JSON Web Token）的单点登录实现方式
（一）JWT原理
图片来源于网络，如有侵权联系删除
1、令牌结构
- JWT是一种紧凑的、自包含的方式，用于在各方之间安全地传输信息，它由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。
- 头部通常包含令牌的类型（如JWT）和所使用的加密算法（如HMAC SHA256），载荷包含用户的相关信息，如用户ID、用户名、权限信息等，签名是通过对头部和载荷进行加密计算得到的，用于验证令牌的真实性。
2、无状态验证
- 与基于会话的方式不同，JWT是无状态的，每个微服务不需要查询中央存储来验证用户身份，而是直接验证JWT令牌本身，当用户登录认证服务成功后，认证服务会生成一个JWT令牌并返回给用户。
- 在一个包含用户管理微服务、资源管理微服务等的系统中，用户在登录后将JWT令牌携带在每个请求中，各个微服务可以独立地验证这个令牌的有效性。
（二）实现步骤
1、认证服务中的JWT生成
- 在认证微服务中，当用户登录成功后，使用JWT库（如jjwt库在Java中）根据用户信息生成JWT令牌，在生成过程中，可以设置令牌的过期时间、签名密钥等参数。
- 可以根据用户的角色信息在载荷中添加权限字段，以便微服务进行权限验证。
2、微服务中的JWT验证
- 每个微服务需要添加JWT验证逻辑，在接收到用户请求时，从请求头（通常是Authorization头）中获取JWT令牌。
- 然后使用相同的签名密钥和验证算法对令牌进行验证，如果验证成功，则可以从令牌的载荷中获取用户信息，如用户ID和权限信息，用于业务逻辑处理；如果验证失败，则拒绝请求。
两种实现方式的比较
（一）性能方面
1、基于共享会话
图片来源于网络，如有侵权联系删除
- 由于需要查询中央会话存储（如Redis），在高并发场景下可能会对会话存储造成较大压力，每次请求都需要进行网络查询操作，可能会增加一定的响应时间。
- 会话存储可以方便地存储更多的用户会话相关信息，如登录时间、IP地址等，对于一些需要详细会话审计的场景比较有利。
2、基于JWT
- JWT验证是无状态的，不需要查询中央存储，每个微服务可以独立快速地验证令牌，在高并发场景下，性能优势明显，减少了网络交互开销。
- JWT令牌如果包含过多信息可能会导致令牌体积较大，增加网络传输开销。
（二）安全性方面
1、基于共享会话
- 会话存储中心（如Redis）如果配置不当，可能存在安全风险，如数据泄露风险，如果Redis被攻击，可能会导致大量用户会话信息泄露。
- 会话标识（如Cookie）如果被窃取，攻击者可能会冒用用户身份进行操作。
2、基于JWT
- JWT的签名机制保证了令牌的真实性和完整性，只要签名密钥安全，令牌在传输过程中不容易被篡改。
- 如果JWT令牌的过期时间设置过长，并且令牌泄露，可能会存在一定的安全风险。
在微服务架构中实现单点登录，可以根据具体的业务需求、性能要求和安全考量选择基于共享会话或者基于JWT的实现方式，无论是哪种方式，都需要确保用户身份验证的准确性、系统的安全性和性能的高效性，以提供良好的用户体验和可靠的系统服务。
评论列表