单点登录怎么实现的，单点登录是怎么做的

《单点登录（SSO）的实现原理与详细流程》

一、单点登录概述

单点登录（Single Sign - On，SSO）是一种身份验证机制，它允许用户使用一组凭据（如用户名和密码）登录一次，然后访问多个相关的应用程序或系统，而无需在每个应用中单独进行登录操作，这在企业级应用、多子系统的大型平台等场景中非常常见，可以极大地提升用户体验并简化管理。

二、单点登录的实现基础技术

1、Cookie技术

图片来源于网络，如有侵权联系删除

- Cookie是一种在客户端（浏览器）存储少量数据的机制，在单点登录中，当用户在单点登录服务器登录成功后，单点登录服务器可以向浏览器设置一个Cookie，这个Cookie包含了用户的身份标识或者与身份验证相关的令牌，一个名为“SSO - Token”的Cookie，其值可能是经过加密的用户身份信息。

- 当用户访问其他子应用时，子应用可以读取这个Cookie，并将其发送到单点登录服务器进行验证。

2、Token技术

- Token（令牌）是一种用于表示用户身份的字符串，它可以是基于JSON Web Token（JWT）等格式，在单点登录场景下，当用户登录成功后，单点登录服务器生成一个Token并返回给客户端。

- 这个Token包含了用户的基本信息（如用户ID、用户名等）以及一些元数据（如有效期等），子应用接收到Token后，可以通过验证Token的签名和解析其中的信息来确定用户的身份，与Cookie不同，Token可以在不同的平台（如移动应用和Web应用）之间进行传递和验证，并且具有更好的安全性，因为它可以进行加密签名等操作。

三、单点登录的常见实现模式

1、基于中央认证服务器（CAS）模式

登录流程

- 用户访问子应用A，子应用A发现用户未登录（例如通过检查请求中是否包含有效的身份标识），则将用户重定向到中央认证服务器（CAS）的登录页面。

- 用户在CAS登录页面输入用户名和密码，CAS对用户进行身份验证，如果验证成功，CAS会在自己的域下创建一个会话（例如设置一个Cookie），并生成一个Ticket（票据）。

- CAS将用户重定向回子应用A，并将Ticket作为参数传递给子应用A。

图片来源于网络，如有侵权联系删除

- 子应用A收到Ticket后，会向CAS发送验证请求，CAS验证Ticket的有效性，如果有效，则向子应用A返回用户的身份信息，子应用A据此建立自己的本地会话，用户成功登录子应用A。

访问其他子应用

- 当用户要访问子应用B时，子应用B发现用户未登录，按照与子应用A相同的流程，将用户重定向到CAS，由于用户已经在CAS登录过，CAS会直接生成一个新的Ticket并将用户重定向回子应用B，子应用B验证Ticket后，用户即可登录子应用B。

2、基于OAuth 2.0的单点登录模式

授权流程

- 用户想要登录子应用A，子应用A作为客户端向OAuth 2.0认证服务器请求授权，这一过程中，子应用A会将用户重定向到OAuth 2.0认证服务器的授权页面。

- 用户在授权页面进行登录（如果未登录）或直接授权子应用A访问其部分信息，OAuth 2.0认证服务器会生成一个授权码（Authorization Code）。

- 子应用A使用授权码向OAuth 2.0认证服务器换取访问令牌（Access Token）和可能的刷新令牌（Refresh Token）。

- 子应用A使用访问令牌来获取用户的身份信息并建立本地会话，用户登录子应用A成功。

访问其他子应用

- 当用户要访问子应用B时，子应用B同样作为客户端向OAuth 2.0认证服务器请求授权，由于用户已经在认证服务器登录过，认证服务器可以根据用户之前的登录状态和授权情况，快速为子应用B提供授权，子应用B获取令牌后建立本地会话，实现用户登录。

图片来源于网络，如有侵权联系删除

四、单点登录的安全考虑

1、Cookie安全

- 如果使用Cookie存储用户身份信息，需要设置合适的Cookie属性，将Cookie的HttpOnly属性设置为true，这样可以防止JavaScript脚本访问Cookie，减少跨站脚本攻击（XSS）的风险，将Cookie的Secure属性设置为true（在支持https的环境下），确保Cookie只能在安全的连接下传输，防止信息泄露。

2、Token安全

- 对于Token，要确保其生成算法的安全性，如果使用JWT，要使用强加密算法来签名Token，要对Token的有效期进行合理设置，避免过长的有效期导致Token被滥用，在传输Token的过程中，要使用安全的传输协议（如https）。

3、跨站请求伪造（CSRF）防范

- 在单点登录的各个子应用中，需要防范CSRF攻击，可以通过在每个请求中包含一个随机生成的CSRF令牌，并且在服务器端进行验证来防止恶意的跨站请求伪造攻击。

单点登录通过整合身份验证流程，利用如Cookie、Token等技术以及基于不同的认证模式（如CAS、OAuth 2.0等），在提升用户体验的同时，也需要充分考虑安全方面的因素，以确保系统的安全性和可靠性。

标签： #单点登录 #实现 #怎么做 #技术