本文目录导读：
前端与后端的实现考量与原理剖析
图片来源于网络，如有侵权联系删除
单点登录概述
单点登录（Single Sign - On，SSO）是一种身份验证机制，允许用户使用一组凭据（如用户名和密码）访问多个相关但独立的系统或应用程序，在现代企业级应用和互联网应用架构中，单点登录极大地提升了用户体验，减少了用户重复登录的繁琐操作，同时也便于集中管理用户身份信息和权限。
后端实现单点登录的原理与方式
（一）基于共享会话（Session）
1、原理
- 在后端实现单点登录的一种常见方式是基于共享会话，在一个企业内部有多个应用系统A、B和C，这些系统都部署在同一个域名下或者可以通过内部网络信任关系共享数据，当用户首次登录系统A时，后端服务器（如使用Java的Servlet容器）会创建一个会话（Session），这个会话包含用户的身份标识、权限信息等，当用户尝试访问系统B或C时，后端服务器会检查是否存在有效的会话，如果存在，就直接允许用户访问，无需再次登录。
- 以一个基于Spring Boot构建的微服务架构为例，在认证服务（负责用户登录验证）中，当用户登录成功后，会生成一个JWT（JSON Web Token）令牌，这个令牌包含了用户的基本信息和签名，其他微服务在接收到请求时，会验证这个JWT令牌的有效性，如果有效，则认为用户已经登录过，可以正常处理请求。
2、优点
安全性高：后端对会话的管理可以进行严格的安全控制，例如设置会话过期时间、加密会话中的敏感信息等，由于会话数据存储在服务器端，相对不容易被篡改。
集中管理：方便在后端进行统一的用户权限管理，可以在一个中心的权限管理模块中定义用户对不同系统的访问权限，在各个应用系统的后端根据共享的会话信息进行权限校验。
3、缺点
可扩展性受限：如果应用系统的规模不断扩大，尤其是在跨域或者分布式系统的情况下，共享会话可能会面临挑战，不同的子系统可能使用不同的技术栈，难以实现会话的共享。
性能开销：维护会话需要服务器端占用一定的内存资源，对于大规模用户并发访问的场景，可能会对服务器性能产生影响。
（二）基于中央认证服务器（CAS - Central Authentication Server）
1、原理
- CAS是一种广泛使用的单点登录协议，在这种模式下，有一个独立的中央认证服务器，当用户尝试访问应用系统（称为服务提供者）时，应用系统会将用户重定向到CAS服务器进行登录，如果用户已经在CAS服务器登录过，CAS服务器会向应用系统返回一个票据（Ticket），应用系统拿着这个票据到CAS服务器进行验证，验证通过后就允许用户访问。
- 在高校的数字化校园建设中，多个应用如教务系统、图书馆系统等都可以通过CAS服务器实现单点登录，学生在登录CAS服务器后，访问其他应用时，CAS服务器可以确保其身份的合法性。
图片来源于网络，如有侵权联系删除
2、优点
跨域支持良好：适合于多个不同域下的应用系统实现单点登录，CAS通过重定向和票据验证机制，能够跨越不同的域名和网络环境进行身份验证。
解耦性强：应用系统只需要关注与CAS服务器的交互和自身业务逻辑，不需要过多考虑用户认证的具体实现，不同的应用系统可以独立开发和部署，只要遵循CAS协议即可。
3、缺点
复杂性增加：需要额外搭建和维护中央认证服务器，增加了系统架构的复杂性，并且在网络出现问题时，可能会影响到所有依赖CAS服务器进行登录的应用系统。
存在单点故障风险：由于所有的认证都依赖于中央认证服务器，如果CAS服务器出现故障，可能会导致所有应用系统的登录功能无法正常使用。
前端实现单点登录的原理与方式
（一）基于前端代理（Proxy）
1、原理
- 在前端实现单点登录时，前端代理是一种可行的方式，假设企业有多个前端应用，这些应用都部署在不同的子路径或者端口下，可以在前端设置一个代理服务器，当用户首次登录其中一个应用时，代理服务器会记录用户的登录状态，使用JavaScript的localStorage或者sessionStorage来存储用户的登录凭证（如加密后的用户名和密码或者令牌），当用户访问其他前端应用时，前端代理会检查本地存储中的登录凭证，如果存在且有效，就直接允许用户访问相关资源，而无需再次登录。
- 以一个基于React构建的前端应用集群为例，在登录成功后，前端会将用户的身份信息存储在localStorage中，当用户切换到另一个React应用时，新的应用会首先检查localStorage中是否存在有效的身份信息，如果有，则可以直接加载受保护的页面内容。
2、优点
灵活性高：前端代理可以根据具体的业务需求和前端应用的架构进行灵活配置，不需要后端进行大量的改动，特别是在一些前后端分离比较彻底的项目中，可以快速实现单点登录功能。
用户体验较好：由于前端可以快速检测本地存储中的登录状态，对于用户来说，在不同前端应用之间切换时几乎没有延迟，感觉像是无缝切换。
3、缺点
安全性风险：将登录凭证存储在前端的本地存储中存在一定的安全风险，例如XSS（跨站脚本攻击）可能会窃取本地存储中的数据，虽然可以对数据进行加密，但加密密钥的管理也是一个挑战。
图片来源于网络，如有侵权联系删除
可靠性受限：如果用户清除了浏览器的本地存储或者更换了浏览器，可能会导致登录状态丢失，需要重新登录。
（二）基于前端框架的路由守卫（Route Guard）
1、原理
- 许多前端框架（如Vue.js和Angular）都提供了路由守卫机制，在实现单点登录时，可以利用这个机制，在Vue.js中，可以在路由配置文件中定义全局的路由守卫，当用户访问需要登录才能访问的页面时，路由守卫会检查用户是否已经登录，如果已经登录（通过检查例如Vuex中的状态管理对象或者Cookie中的登录标识），则允许用户访问；如果没有登录，则将用户重定向到登录页面。
- 在一个基于Angular构建的多模块前端应用中，在根模块的路由配置中设置CanActivate守卫，当用户在不同模块之间导航时，CanActivate守卫会根据用户的登录状态决定是否允许导航，如果用户已经在一个模块中登录，那么在访问其他模块的受保护页面时，守卫会检测到登录状态并放行。
2、优点
与前端框架集成紧密：利用前端框架自身的路由机制实现单点登录，代码结构清晰，易于维护，可以方便地与前端框架的其他功能（如组件生命周期管理、数据绑定等）协同工作。
实时性较好：可以在用户导航的瞬间进行登录状态的检查，及时将未登录用户重定向到登录页面，保证了应用的安全性和数据的保密性。
3、缺点
功能有限：路由守卫主要关注的是前端页面的访问控制，对于一些复杂的单点登录场景，如跨域的后端资源访问、与多个后端系统的集成等，单纯依靠路由守卫难以满足需求。
依赖前端框架：如果前端框架发生较大的版本更新或者替换，可能需要对基于路由守卫的单点登录代码进行大量的修改。
单点登录的实现无论是前端还是后端都有各自的优势和劣势，在实际的项目中，往往需要根据具体的业务需求、系统架构、安全要求和技术团队的能力等多方面因素综合考虑，如果企业注重安全管理、集中权限控制以及跨域的复杂场景，后端实现单点登录可能更为合适；如果追求灵活性、快速部署和较好的用户体验，并且安全风险可以通过其他手段（如加密、安全策略等）有效控制，前端实现单点登录也是一种不错的选择，在一些大型的企业级应用中，甚至可能会采用前端和后端相结合的方式来实现单点登录，充分发挥两者的优势，以构建一个高效、安全、便捷的单点登录解决方案。
评论列表