《JWT单点登录与SSO单点登录：原理、差异与应用场景》
图片来源于网络，如有侵权联系删除
一、单点登录概述
单点登录（Single Sign - On，SSO）是一种身份验证机制，允许用户使用一组凭据（如用户名和密码）访问多个相关但独立的系统或应用程序，它的出现解决了用户在多个应用中需要重复登录的繁琐问题，提高了用户体验并增强了安全性。
二、JWT单点登录
1、JWT（JSON Web Token）原理
- JWT是一种开放标准（RFC 7519），用于在各方之间安全地传输信息，它由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。
- 头部包含了使用的算法（如HMAC - SHA256）等元数据信息，载荷包含了一些声明（Claims），如用户身份标识（如用户ID）、过期时间（exp）、签发时间（iat）等信息，签名是对头部和载荷进行加密计算得到的，用于验证消息的完整性和真实性。
- 在单点登录场景中，当用户首次登录认证服务器时，认证服务器会生成一个JWT并返回给客户端，客户端在后续访问其他受保护资源时，将这个JWT包含在请求中（通常是在请求头中），资源服务器接收到请求后，会验证JWT的签名、检查过期时间等，如果验证通过，则允许用户访问资源。
2、优势
- 无状态性：JWT是自包含的，资源服务器不需要在本地存储关于用户会话的任何信息，这使得服务器更容易进行水平扩展，因为不需要在多个服务器实例之间共享会话状态。
- 跨平台和跨语言：由于JWT是基于JSON格式的，它可以在各种不同的平台（如Web、移动端）和编程语言中轻松解析和使用。
图片来源于网络，如有侵权联系删除
- 可扩展性：可以方便地在JWT的载荷中添加自定义的声明，以满足不同应用场景下的需求，例如添加用户角色信息等。
3、应用场景示例
- 在一个企业内部，有多个不同功能的微服务，如员工管理系统、项目管理系统和文件存储系统，使用JWT单点登录，员工在登录企业的统一认证中心后，会获得一个JWT，当员工访问项目管理系统时，项目管理系统的资源服务器可以验证JWT并根据其中的用户ID获取相应的项目权限信息；当访问文件存储系统时，文件存储系统也可以根据JWT验证用户身份并提供相应的文件访问权限。
三、SSO单点登录
1、原理
- SSO有多种实现方式，常见的有基于CAS（Central Authentication Service）等，以CAS为例，当用户访问一个应用（称为服务提供者，Service Provider，SP）时，如果用户未登录，SP会将用户重定向到认证服务器（称为身份提供者，Identity Provider，IdP），用户在IdP登录后，IdP会生成一个票据（Ticket）并将用户重定向回SP，同时将票据传递给SP，SP拿着这个票据再次向IdP验证，验证通过后，用户就可以访问SP的资源。
2、优势
- 集中管理用户身份：企业可以通过一个统一的身份认证服务器管理所有应用的用户登录，方便进行用户管理、权限管理等操作，当一个员工离职时，只需要在身份认证服务器上禁用其账号，就可以阻止其访问所有相关的应用。
- 提高用户体验：用户只需要登录一次就可以访问多个应用，减少了登录操作的次数，提高了工作效率。
3、应用场景示例
图片来源于网络，如有侵权联系删除
- 在高校环境中，学校有多个信息系统，如选课系统、图书馆系统和学生成绩管理系统，通过SSO单点登录系统，学生只需要登录学校的统一身份认证平台（如使用学号和密码登录），然后就可以无缝访问选课系统进行课程选择、进入图书馆系统查询图书借阅情况以及查看自己的成绩管理系统中的成绩等。
四、JWT单点登录与SSO单点登录的差异
1、状态管理方面
- JWT单点登录是无状态的，而传统的SSO单点登录（如基于CAS的）往往是有状态的，在SSO中，服务提供者可能需要在本地存储一些与用户会话相关的信息（如票据的缓存等），而JWT单点登录不需要。
2、实现复杂度
- JWT单点登录相对来说实现较为简单，主要是生成和验证JWT的过程，而SSO单点登录涉及到多个系统之间的重定向、票据的传递和验证等复杂流程，需要更多的配置和协调工作。
3、安全性
- JWT单点登录的安全性依赖于JWT的签名算法和密钥管理，如果密钥泄露，可能会导致JWT被伪造，SSO单点登录也面临安全风险，如票据劫持等问题，但通过一些安全措施（如加密票据传输、设置票据有效期等）可以降低风险。
在实际应用中，企业或组织需要根据自身的需求、技术架构和安全要求等因素来选择合适的单点登录方案，无论是JWT单点登录还是SSO单点登录，都旨在提高用户体验、简化用户管理并增强系统的安全性。
评论列表