单点登录sso的实现原理，单点登录和sso的区别，单点登录（SAML）与SSO，技术原理与差异解析

单点登录（SSO）实现原理涉及将多个系统统一认证，用户只需登录一次即可访问所有系统。与单点登录（SAML）相比，SSO更强调认证过程，SAML侧重于安全断言。技术原理上，SSO依赖认证服务器和统一的会话管理，而SAML则采用XML进行安全信息交换。两者在实现细节和安全机制上存在差异。

本文目录导读：

图片来源于网络，如有侵权联系删除

1. 单点登录（SAML）与SSO的区别
2. 单点登录（SAML）与SSO的实现原理

单点登录（SAML）与SSO的区别

单点登录（Single Sign-On，简称SSO）和Security Assertion Markup Language（安全断言标记语言，简称SAML）是两种常见的身份验证和授权技术，虽然它们的目标都是为了简化用户登录过程，但两者在实现原理和应用场景上存在一些差异。

1、定义

单点登录（SSO）是一种用户认证机制，用户只需登录一次，就可以访问所有已授权的系统，SSO实现了“一次登录，处处通行”。

安全断言标记语言（SAML）是一种基于XML的开放标准，用于在网络上传输用户身份验证和授权信息，SAML主要用于实现单点登录（SSO）和单点注销（Single Sign-Off）功能。

2、差异

（1）实现原理

SSO是一种身份验证和授权机制，它依赖于第三方认证服务器（如OAuth、OpenID Connect等）来统一管理用户身份信息，当用户访问受保护的资源时，SSO系统会自动检测用户是否已登录，若未登录，则引导用户进行身份验证；若已登录，则直接放行。

SAML则是一种基于XML的标记语言，它通过在请求和响应中传输身份验证和授权信息来实现单点登录，SAML协议主要包括以下三个角色：

- 认证提供者（Identity Provider，简称IdP）：负责用户身份验证，并向服务提供者发送SAML断言。

- 服务提供者（Service Provider，简称SP）：接收IdP发送的SAML断言，并根据断言内容决定是否允许用户访问受保护的资源。

- 用户：发起登录请求，并在IdP进行身份验证。

（2）应用场景

图片来源于网络，如有侵权联系删除

SSO适用于企业内部系统，如OA、ERP、CRM等，以及第三方服务提供商，如云服务平台、社交媒体等。

SAML则适用于需要跨域认证和授权的场景，如企业内部系统、合作伙伴、供应商等。

（3）安全性

SSO的安全性取决于第三方认证服务器和系统之间的安全协议，若第三方认证服务器存在安全漏洞，则可能导致用户身份信息泄露。

SAML作为一种基于XML的标记语言，其安全性主要依赖于以下三个方面：

- XML签名：用于确保SAML消息的完整性和真实性。

- XML加密：用于保护SAML消息中的敏感信息。

- 安全传输：如HTTPS等，确保SAML消息在传输过程中的安全性。

单点登录（SAML）与SSO的实现原理

1、单点登录（SSO）实现原理

（1）用户登录

当用户访问受保护的资源时，SSO系统会自动检测用户是否已登录，若未登录，则引导用户到第三方认证服务器进行身份验证。

（2）身份验证

图片来源于网络，如有侵权联系删除

用户在第三方认证服务器进行身份验证，如输入用户名、密码等，若验证成功，则认证服务器生成一个会话令牌（如OAuth令牌、JWT等），并将其发送给SSO系统。

（3）授权

SSO系统收到会话令牌后，将其存储在本地缓存中，当用户再次访问受保护的资源时，SSO系统会验证会话令牌的有效性，若有效，则允许用户访问；若无效，则引导用户重新登录。

2、SAML实现原理

（1）用户登录

当用户访问受保护的资源时，SP发送SAML请求到IdP。

（2）身份验证

IdP对用户进行身份验证，如输入用户名、密码等，若验证成功，则生成一个SAML断言，并将其发送给SP。

（3）授权

SP收到SAML断言后，根据断言内容决定是否允许用户访问受保护的资源，若允许，则放行；若不允许，则拒绝访问。

单点登录（SSO）与SAML是两种常见的身份验证和授权技术，虽然它们的目标都是为了简化用户登录过程，但两者在实现原理和应用场景上存在一些差异，在实际应用中，企业应根据自身需求选择合适的单点登录技术，以确保用户身份信息的安全性和系统的稳定性。

标签： #SSO实现原理