单点登录的原理和使用场景，啥是单点登录

实现多系统便捷访问的身份认证解决方案

图片来源于网络，如有侵权联系删除

一、单点登录的原理

（一）基本概念

单点登录（Single Sign - On，SSO）是一种身份认证机制，它允许用户使用一组凭据（如用户名和密码）登录一次，就能够访问多个相关但独立的系统或应用程序。

（二）认证流程

1、用户首次访问某个系统（称为源系统）时，源系统检测到用户未登录，会将用户重定向到单点登录系统（SSO系统），在一个企业内部，员工首次访问财务系统时，如果没有登录凭证，就会被导向专门的SSO服务器。

2、SSO系统呈现登录界面，用户输入用户名和密码，SSO系统对用户的凭据进行验证，这个验证过程可能涉及到与用户数据库（如LDAP服务器）进行交互，检查用户名是否存在以及密码是否正确。

3、如果验证成功，SSO系统会创建一个全局会话（Global Session），并为用户生成一个唯一的标识（如Token），这个标识包含了用户的身份信息，同时SSO系统会将这个标识与用户的全局会话相关联。

4、SSO系统然后将用户重定向回源系统，并在重定向的请求中携带这个标识（Token），源系统接收到带有标识的请求后，会向SSO系统发送验证请求，SSO系统验证标识的有效性，如果有效，源系统会创建自己的本地会话（Local Session），这个本地会话与SSO系统的全局会话相关联，这样用户就成功登录到源系统。

5、当用户需要访问其他关联系统（目标系统）时，目标系统检测到用户未登录，会重定向到SSO系统，SSO系统通过检查全局会话中的标识，确认用户已经登录，然后直接将用户重定向回目标系统，并通知目标系统用户已通过认证，目标系统同样创建自己的本地会话，用户无需再次输入用户名和密码就可以访问目标系统。

（三）技术实现方式

1、基于Cookie的SSO

- 在这种方式中，SSO系统在用户登录成功后，会在用户浏览器中设置一个Cookie，这个Cookie包含了用户的身份标识等相关信息，当用户访问其他关联系统时，这些系统可以读取这个Cookie来验证用户身份，这种方式存在跨域问题，不同域名下的系统可能无法直接共享Cookie。

图片来源于网络，如有侵权联系删除

2、基于Token的SSO

- Token是一种无状态的身份验证机制，SSO系统生成的Token可以包含用户的身份信息、有效期等内容，源系统和目标系统通过验证Token的签名和有效期等信息来确认用户身份，这种方式相对灵活，适用于分布式系统和跨平台的应用场景。

3、基于SAML（安全断言标记语言）的SSO

- SAML是一种基于XML的标准协议，在基于SAML的SSO中，SSO系统作为身份提供者（IdP），各个关联系统作为服务提供者（SP），当用户登录SSO系统后，SSO系统会生成一个包含用户身份断言的SAML响应，这个响应会被发送到源系统或目标系统，源系统或目标系统通过解析SAML响应来验证用户身份并建立本地会话。

二、单点登录的使用场景

（一）企业内部应用集成

1、在大型企业中，往往存在多个不同功能的系统，如办公自动化系统（OA）、企业资源规划系统（ERP）、客户关系管理系统（CRM）等，员工需要在日常工作中频繁切换这些系统，如果没有单点登录，员工需要在每个系统中分别输入用户名和密码进行登录，这不仅繁琐，而且容易出错。

- 销售部门的员工需要同时使用CRM系统来管理客户信息，使用ERP系统来查询库存和订单状态，使用OA系统来提交请假和报销申请，单点登录可以让员工只需登录一次，就能够无缝切换到这些不同的系统，提高工作效率。

2、对于企业的信息安全管理来说，单点登录也便于集中管理用户身份和权限，企业的安全管理员可以在SSO系统中统一设置用户的账号密码策略、权限分配等，当员工离职或岗位变动时，只需要在SSO系统中进行一次账号状态和权限的调整，就可以影响到员工对所有关联系统的访问权限。

（二）高校信息化建设

1、高校通常有多个信息化系统，如教学管理系统（用于课程安排、成绩管理等）、图书馆管理系统（用于图书借阅、查询等）、校园一卡通系统（用于消费、门禁等），学生和教师需要经常使用这些系统。

- 对于学生来说，他们可以通过单点登录方便地查询自己的课程表、借阅图书、使用一卡通进行消费等，对于教师而言，可以更便捷地管理教学事务、查询图书馆资源等。

图片来源于网络，如有侵权联系删除

2、高校的IT部门通过单点登录系统可以更好地管理用户数据，确保数据的安全性和一致性，单点登录也提升了高校信息化服务的用户体验，促进了数字化校园的建设。

（三）互联网服务提供商

1、一些大型的互联网服务提供商可能拥有多个相关的服务，某互联网公司旗下有电子邮件服务、云存储服务、在线文档编辑服务等，用户如果要分别使用这些服务，每次都登录会非常麻烦。

- 采用单点登录机制，用户登录该公司的一个主要服务（如电子邮件服务）后，就可以方便地访问其他相关服务，这有助于提高用户的粘性，增加用户对公司旗下多种服务的使用频率。

2、从安全角度来看，互联网服务提供商可以通过单点登录系统对用户的身份进行集中验证和管理，防范恶意登录和数据泄露等安全风险。

（四）跨组织合作

1、在跨组织的合作项目中，可能涉及到多个组织的不同系统之间的交互，在一个供应链项目中，供应商、制造商和销售商可能各自有自己的企业系统，但在项目合作过程中，需要共享部分信息和进行协同工作。

- 单点登录可以在不同组织之间建立信任关系，通过统一的身份认证机制，让合作方的相关人员能够在经过授权的情况下访问对方的部分系统资源，同时又能保证各自系统的安全性。

单点登录作为一种高效、便捷且安全的身份认证解决方案，在众多领域都有着广泛的应用前景，它不仅提高了用户体验，也为企业、组织等在用户管理和信息安全方面提供了有力的支持。

标签： #单点登录 #原理 #使用场景 #定义