本文目录导读：
图片来源于网络，如有侵权联系删除
《基于Shiro实现SSO单点登录：原理、配置与应用》
单点登录（SSO）概述
在当今的企业级应用和互联网应用中，单点登录（SSO）是一个非常重要的概念，它允许用户使用一组凭据（如用户名和密码）登录一次，然后访问多个相互信任的应用系统，而无需在每个系统中单独登录，这大大提高了用户体验，减少了用户记忆多个账号密码的负担，同时也便于企业对用户身份进行统一管理和安全控制。
Shiro简介
Apache Shiro是一个强大的、易用的Java安全框架，它提供了身份验证、授权、加密和会话管理等功能，Shiro的架构设计灵活，可以方便地集成到各种Java应用中，包括Web应用、企业级应用和移动应用等，在单点登录场景中，Shiro可以发挥重要作用，帮助我们构建安全、高效的SSO解决方案。
基于Shiro实现SSO单点登录的原理
（一）身份验证中心
首先需要建立一个身份验证中心（Authentication Center），它负责对用户的身份进行验证，在Shiro中，可以通过自定义Realm来实现与用户数据源（如数据库、LDAP等）的交互，验证用户输入的用户名和密码是否正确。
（二）会话管理
Shiro提供了强大的会话管理功能，当用户在一个应用中成功登录后，Shiro会创建一个会话（Session），并将会话信息存储在合适的存储介质中（如内存、数据库或Redis等），在SSO场景中，这个会话信息需要能够被多个应用共享。
（三）单点登录流程
1、用户访问应用A，应用A检测到用户未登录，将用户重定向到身份验证中心。
2、身份验证中心显示登录页面，用户输入用户名和密码。
3、身份验证中心的Shiro Realm对用户身份进行验证，如果验证成功，创建全局会话，并生成一个表示用户已登录的标识（如Token）。
4、身份验证中心将用户重定向回应用A，并在重定向的URL中携带Token。
5、应用A接收到Token后，使用Shiro验证Token的有效性，如果有效，则认为用户已经登录，允许用户访问应用资源。
图片来源于网络，如有侵权联系删除
6、当用户访问应用B时，应用B同样检测到用户未登录，将用户重定向到身份验证中心，身份验证中心发现用户已经有全局会话（通过Token验证），直接将用户重定向回应用B，并在重定向的URL中携带Token，应用B验证Token后允许用户访问。
Shiro SSO单点登录的配置
（一）引入Shiro依赖
在基于Maven的项目中，需要在pom.xml文件中引入Shiro相关的依赖包，
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro - web</artifactId>
<version>${shiro.version}</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro - core</artifactId>
<version>${shiro.version}</version>
</dependency>（二）配置Shiro的核心组件
1、配置SecurityManager
- 在Shiro中，SecurityManager是核心组件，负责管理所有的安全操作，可以在Spring配置文件（如果是基于Spring的项目）或者在Java代码中进行配置。
- 在Java代码中配置：
DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager(); // 设置自定义Realm securityManager.setRealm(customRealm);
2、配置Realm
- 自定义Realm需要实现Shiro的Realm接口，
public class CustomRealm extends AuthorizingRealm {
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
// 从token中获取用户名
String username = (String) token.getPrincipal();
// 根据用户名查询用户信息（从数据库、LDAP等）
User user = userService.findByUsername(username);
if (user == null) {
throw new UnknownAccountException("用户不存在");
}
SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(user.getUsername(), user.getPassword(), getName());
return info;
}
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
// 进行授权操作，例如查询用户的角色和权限
String username = (String) principals.getPrimaryPrincipal();
Set<String> roles = roleService.findRolesByUsername(username);
Set<String> permissions = permissionService.findPermissionsByUsername(username);
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
info.setRoles(roles);
info.setPermissions(permissions);
return info;
}
}3、配置会话管理
- 可以配置会话的过期时间、存储方式等，如果要将会话存储在Redis中，可以使用Shiro - redis插件。
- 在Spring配置文件中配置：
<bean id="sessionDAO" class="org.apache.shiro.session.mgt.eis.EnterpriseCacheSessionDAO">
<property name="activeSessionsCacheName" value="shiro - active - sessions"/>
</bean>
<bean id="sessionManager" class="org.apache.shiro.web.session.mgt.DefaultWebSessionManager">
<property name="sessionDAO" ref="sessionDAO"/>
<property name="globalSessionTimeout" value="1800000"/>
</bean>
<bean id="securityManager" class="org.apache.shiro.web.mgt.DefaultWebSecurityManager">
<property name="realm" ref="customRealm"/>
<property name="sessionManager" ref="sessionManager"/>
</bean>（三）实现应用间的通信与Token验证
图片来源于网络，如有侵权联系删除
1、在不同的应用之间，需要一种安全的通信机制来传递Token，可以使用HTTP重定向，并对Token进行加密处理，防止信息泄露。
2、每个应用都需要有一个Filter来验证Token的有效性，在Shiro中，可以通过自定义Filter来实现。
public class TokenFilter extends AccessControlFilter {
@Override
protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws Exception {
// 从请求中获取Token
String token = getTokenFromRequest(request);
if (token == null) {
return false;
}
// 验证Token的有效性（可以通过与身份验证中心通信或者解密验证等方式）
boolean isValid = tokenService.validateToken(token);
return isValid;
}
@Override
protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
// 如果Token无效，重定向到身份验证中心
redirectToAuthenticationCenter(request, response);
return false;
}
private String getTokenFromRequest(ServletRequest request) {
// 从请求的参数或者头部获取Token
HttpServletRequest httpRequest = (HttpServletRequest) request;
String token = httpRequest.getParameter("token");
if (token == null) {
token = httpRequest.getHeader("token");
}
return token;
}
private void redirectToAuthenticationCenter(ServletRequest request, ServletResponse response) throws IOException {
// 构建重定向到身份验证中心的URL
HttpServletResponse httpResponse = (HttpServletResponse) response;
String redirectUrl = authenticationCenterUrl + "?redirectUrl=" + getCurrentUrl(request);
httpResponse.sendRedirect(redirectUrl);
}
private String getCurrentUrl(ServletRequest request) {
HttpServletRequest httpRequest = (HttpServletRequest) request;
StringBuffer url = httpRequest.getRequestURL();
String queryString = httpRequest.getQueryString();
if (queryString!= null) {
url.append('?').append(queryString);
}
return url.toString();
}
}安全性考虑
（一）防止Token劫持
1、Token是SSO中用户身份的重要标识，需要防止被劫持，可以采用HTTPS协议来加密应用间的通信，确保Token在传输过程中的安全性。
2、定期更新Token，设置合理的Token过期时间，例如15 - 30分钟，减少Token被破解和滥用的风险。
（二）跨站脚本攻击（XSS）防范
1、在身份验证中心和各个应用的登录页面以及其他用户输入页面，需要对用户输入进行严格的过滤和转义，防止XSS攻击。
2、对从身份验证中心传递过来的参数（包括Token）进行合法性检查，防止恶意注入。
（三）会话固定攻击防范
1、在用户登录成功后，重新生成会话ID，避免会话固定攻击。
2、对会话的生命周期进行严格管理，例如在用户长时间无操作时自动注销会话。
基于Shiro实现SSO单点登录是一种可行且高效的解决方案，通过合理配置Shiro的核心组件，实现身份验证、会话管理和应用间的通信，可以为企业级应用和互联网应用提供统一的用户身份管理和便捷的登录体验，在实现过程中需要充分考虑安全性问题，保障用户信息的安全和应用的稳定运行，随着企业应用的不断发展和整合，SSO技术将发挥越来越重要的作用，而Shiro作为一个优秀的安全框架，将在其中扮演重要的角色。
评论列表