单点登录三种方式，单点登录实现方式

本文目录导读：

1. 基于Cookie的单点登录
2. 基于Token的单点登录

单点登录（SSO）的三种实现方式

基于Cookie的单点登录

1、原理

- 在基于Cookie的单点登录中，一个中心认证服务器（CAS - Central Authentication Server）负责用户的认证，当用户首次访问某个子系统（例如子系统A）时，子系统A会将用户重定向到CAS服务器，CAS服务器要求用户提供登录凭证（如用户名和密码），一旦用户成功登录，CAS服务器会在用户的浏览器中设置一个Cookie，这个Cookie包含了用户的身份标识信息，并且该Cookie的域设置为一个顶级域名（example.com），这样它可以被同一个顶级域名下的多个子系统共享。

图片来源于网络，如有侵权联系删除

- 当用户再访问其他子系统（如子系统B）时，子系统B会检测到浏览器中存在来自CAS服务器的Cookie，然后子系统B会向CAS服务器发送一个验证请求，带上Cookie中的相关标识，CAS服务器验证该标识的有效性，如果有效，就向子系统B返回用户的身份信息，从而实现用户无需再次登录即可访问子系统B。

2、优点

简单易用：对于开发人员来说，基于Cookie的单点登录实现相对简单，开发人员只需要按照CAS服务器的接口规范，在子系统中集成验证逻辑即可。

用户体验好：用户只需要登录一次，在后续访问同一顶级域名下的其他子系统时，无需再次输入用户名和密码，提高了用户操作的便捷性。

3、缺点

跨域问题：如果子系统分布在不同的顶级域名下，基于Cookie的单点登录就会遇到困难，因为浏览器的安全策略限制，Cookie不能在不同的顶级域名之间共享，子系统A在domain1.com，子系统B在domain2.com，这种情况下基于Cookie的单点登录无法直接实现。

安全性依赖于Cookie：Cookie可能会被窃取或篡改，如果攻击者获取了包含用户身份标识的Cookie，就可能冒充用户进行非法访问，需要采取额外的安全措施，如对Cookie进行加密和签名，以确保其安全性。

基于Token的单点登录

1、原理

- 当用户登录到认证服务器时，认证服务器会生成一个包含用户身份信息的Token（通常是一个加密的字符串），这个Token会被返回给用户的客户端（如浏览器或移动应用），当用户访问各个子系统时，客户端会将这个Token包含在请求头或请求参数中发送给子系统，子系统收到请求后，会将Token发送到认证服务器进行验证，认证服务器验证Token的有效性，包括检查签名是否正确、是否过期等，如果Token有效，认证服务器会向子系统返回用户的身份信息，子系统根据这些信息为用户提供服务。

图片来源于网络，如有侵权联系删除

2、优点

跨平台和跨域性好：Token可以很方便地在不同的平台（如Web、移动应用）和不同的域名之间传递，只要子系统能够识别和处理Token，就可以实现单点登录，一个企业有Web应用在web.example.com，移动应用在app.example.com，通过基于Token的单点登录可以很好地实现用户在这两个不同平台应用之间的单点登录。

安全性较高：由于Token是加密的，并且可以设置过期时间、签名等安全机制，相比于Cookie，Token在传输和存储过程中的安全性更高，即使Token被窃取，如果没有正确的签名验证密钥，攻击者也难以伪造有效的Token。

3、缺点

增加网络开销：每次子系统请求都需要将Token发送到认证服务器进行验证，这会增加一定的网络开销，尤其是在高并发的情况下，可能会影响系统的性能。

管理复杂：认证服务器需要对Token进行有效的管理，包括生成、验证、过期处理等，如果管理不当，可能会导致Token泄露或滥用等问题。

三、基于SAML（安全断言标记语言）的单点登录

1、原理

- SAML是一种基于XML的标准协议，用于在不同的安全域之间交换认证和授权数据，在基于SAML的单点登录中，有三个主要角色：身份提供者（IdP - Identity Provider）、服务提供者（SP - Service Provider）和用户，当用户访问服务提供者（如某个企业应用）时，服务提供者会将用户重定向到身份提供者进行登录，身份提供者验证用户身份后，会生成一个SAML断言（包含用户身份信息、权限等），并将这个断言发送回服务提供者，服务提供者根据SAML断言中的信息来确定用户的身份和权限，从而实现单点登录。

图片来源于网络，如有侵权联系删除

2、优点

企业级集成优势：在企业环境中，不同的部门或业务系统可能使用不同的技术架构和安全机制，SAML作为一种标准协议，可以方便地实现这些不同系统之间的单点登录集成，一个企业内部有使用Java开发的系统、.NET开发的系统以及一些第三方的SaaS应用，通过SAML可以将它们整合到一个单点登录体系中。

安全性和互操作性：SAML提供了丰富的安全特性，如数字签名、加密等，可以确保断言在传输和交换过程中的安全性，由于它是一种标准协议，不同的厂商和系统可以按照SAML规范进行开发和集成，提高了互操作性。

3、缺点

技术门槛较高：SAML的实现基于XML技术，其协议相对复杂，开发人员需要对XML、数字签名、加密等技术有深入的了解，这对于一些小型团队或技术能力有限的组织来说，开发和维护成本较高。

性能开销：由于SAML断言是基于XML格式，在处理和解析XML数据时可能会带来一定的性能开销，尤其是在处理大量用户登录请求的情况下。

标签： #单点登录 #实现方式 #三种方式