本文目录导读：
单点登录（SSO）流程图绘制全解析
图片来源于网络，如有侵权联系删除
单点登录的概念及重要性
单点登录（Single Sign - On，SSO）是一种身份验证机制，允许用户使用一组凭据（如用户名和密码）访问多个相关但独立的应用程序或系统，在现代企业和互联网环境中，单点登录具有极高的重要性。
从用户体验角度看，用户无需为每个应用分别记住不同的登录信息，减少了记忆负担，提高了操作效率，在一个大型企业内部，员工可能需要使用办公软件、邮件系统、人力资源管理系统等多个不同的应用，如果没有单点登录，每次切换应用都要重新输入用户名和密码，这将非常繁琐。
从安全管理角度，单点登录系统便于集中管理用户身份信息和权限，企业的安全管理员可以在一个统一的平台上控制用户的访问权限，当用户的角色或权限发生变化时，只需要在单点登录系统中进行调整，而不需要逐个修改每个应用中的用户权限。
从企业成本角度，单点登录减少了应用开发过程中身份验证模块的重复开发，多个应用可以复用单点登录系统的认证功能，节省了开发资源和时间。
单点登录流程图绘制的准备工作
（一）确定参与方
1、用户：发起登录请求并希望访问多个应用的主体。
2、单点登录系统（SSO Server）：负责验证用户身份，生成和管理会话信息，以及协调用户与各个应用（Service Provider，SP）之间的交互。
3、各个应用（Service Provider）：提供具体服务的应用程序，依赖单点登录系统来验证用户身份。
（二）明确流程中的关键操作
1、身份验证：用户向单点登录系统提供用户名和密码等凭据，单点登录系统验证这些凭据的合法性。
2、会话创建：单点登录系统在验证用户身份成功后，创建一个全局会话（Global Session），并为用户生成一个会话标识（Session ID）。
3、令牌（Token）生成与传递：单点登录系统生成一个令牌（如安全断言标记语言 - SAML令牌或者JSON Web令牌 - JWT），并将其传递给用户或应用，这个令牌包含了用户的身份信息和权限信息。
4、应用验证令牌：各个应用接收到令牌后，向单点登录系统验证令牌的有效性，以确定是否允许用户访问。
单点登录流程图的详细绘制
（一）初始登录阶段
1、用户请求登录
- 用户打开浏览器，访问其中一个应用（假设为App1），由于App1采用单点登录机制，它检测到用户未登录（可能通过检查本地Cookie或者请求头中是否存在有效的会话标识），于是将用户重定向到单点登录系统的登录页面。
- 在这个过程中，App1会在重定向请求中添加一些自身的标识信息，例如应用的名称或者回调URL（用于登录成功后单点登录系统将用户重定向回App1）。
图片来源于网络，如有侵权联系删除
2、单点登录系统呈现登录页面
- 单点登录系统接收到重定向请求后，根据请求中的信息（如应用标识等），呈现相应的登录页面，这个登录页面要求用户输入用户名和密码。
3、用户提交登录凭据
- 用户在登录页面输入用户名和密码，然后点击登录按钮，浏览器将用户输入的信息以POST请求的形式发送给单点登录系统。
（二）身份验证与会话创建阶段
1、单点登录系统验证身份
- 单点登录系统接收到用户的登录凭据后，首先会检查用户名和密码的格式是否正确，如果格式不正确，会立即返回错误提示给用户。
- 如果格式正确，单点登录系统会查询用户数据库（可以是关系型数据库、LDAP目录等），验证用户名和密码是否匹配，如果不匹配，也会返回错误提示。
- 如果匹配成功，单点登录系统会创建一个全局会话，这个全局会话可以存储在服务器端的内存中（对于小型系统）或者分布式缓存（如Redis）中，以提高性能和可扩展性，为这个会话生成一个唯一的会话标识（Session ID），并将其与用户的身份信息关联起来。
2、单点登录系统生成令牌
- 在创建全局会话后，单点登录系统会根据用户的身份信息和权限信息生成一个令牌，如果采用SAML令牌，它会包含用户的姓名、所属部门、角色等信息；如果采用JWT令牌，会将这些信息进行加密签名后封装在令牌中。
- 令牌还会包含一些元信息，如令牌的有效期、颁发者（单点登录系统自身）等。
（三）令牌传递与应用访问阶段
1、单点登录系统传递令牌给用户
- 单点登录系统将生成的令牌以某种方式返回给用户，如果是基于浏览器的应用，可能会将令牌设置为一个Cookie，或者将令牌包含在重定向请求的URL参数中。
- 单点登录系统根据之前应用（App1）传递过来的回调URL，将用户重定向回App1，并携带令牌信息。
2、应用验证令牌
图片来源于网络，如有侵权联系删除
- App1接收到用户的重定向请求后，从请求中提取令牌（无论是从Cookie还是URL参数中），App1向单点登录系统发送一个验证请求，将令牌作为参数传递给单点登录系统。
- 单点登录系统接收到验证请求后，会检查令牌的有效性，包括验证签名（如果是加密令牌）、检查令牌是否过期、验证令牌中的用户身份信息是否与自身记录一致等。
- 如果令牌有效，单点登录系统会向App1返回一个验证成功的响应，同时可能会返回一些额外的用户信息（如用户的详细权限信息等），App1根据单点登录系统的响应，确定用户的访问权限，允许用户访问相应的资源。
（四）访问其他应用阶段
1、用户访问其他应用（假设为App2）
- 当用户想要访问另一个采用单点登录机制的应用App2时，用户直接在浏览器中访问App2的URL。
- App2检测到用户未登录（通过类似的检查机制），由于采用单点登录，它不会要求用户再次输入用户名和密码，而是直接检查是否存在有效的单点登录令牌（例如检查本地Cookie或者请求头中的令牌）。
2、App2验证令牌
- 如果找到有效的令牌，App2会按照与App1相同的流程，向单点登录系统验证令牌的有效性，如果令牌有效，单点登录系统返回验证成功响应，App2允许用户访问其资源。
单点登录流程图中的异常处理
1、身份验证失败
- 如果在单点登录系统验证用户身份时失败（如用户名或密码错误），单点登录系统会向用户返回一个明确的错误提示页面，告知用户登录失败的原因，单点登录系统可能会记录此次失败的登录尝试，以便进行安全审计（例如检测是否存在暴力破解密码的行为）。
2、令牌验证失败
- 如果应用在验证令牌时失败，可能有多种原因，如令牌过期、令牌被篡改等，在这种情况下，应用可以有不同的处理方式，一种方式是将用户重定向回单点登录系统的登录页面，让用户重新登录；另一种方式是根据应用的具体需求，提示用户进行一些额外的操作（如重新获取令牌或者联系管理员）。
3、单点登录系统故障
- 如果单点登录系统本身发生故障（如服务器宕机或者数据库连接失败），各个应用需要有相应的容错机制，一种常见的方式是应用可以切换到本地登录模式（如果支持），允许用户使用本地的用户名和密码进行登录（这种用户名和密码可能是之前在本地保存的备份或者是应用特定的临时登录方式），应用需要不断尝试重新连接单点登录系统，一旦单点登录系统恢复正常，应用可以将本地登录的用户信息同步到单点登录系统中（如果需要）。
单点登录流程图的绘制需要全面考虑各个环节的操作、交互以及异常处理情况，这样才能准确地描述单点登录机制的工作原理，为系统的开发、部署和维护提供清晰的指导。
评论列表