单点登录的实现原理
来源:互联网 发布:in照片软件 编辑:程序博客网 时间:2024/05/21 11:08
单点登录SSO(Single Sign On)说得简单点就是在一个多系统共存的环境下,用户在一处登录后,就不用在其他系统中登录,也就是用户的一次登录能得到其他所有系统的信任。单点登录在大型网站里使用得非常频繁,例如像阿里巴巴这样的网站,在网站的背后是成百上千的子系统,用户一次操作或交易可能涉及到几十个子系统的协作,如果每个子系统都需要用户认证,不仅用户会疯掉,各子系统也会为这种重复认证授权的逻辑搞疯掉。实现单点登录说到底就是要解决如何产生和存储那个信任,再就是其他系统如何验证这个信任的有效性,因此要点也就以下几个:
- 存储信任
- 验证信任
只要解决了以上的问题,达到了开头讲得效果就可以说是SSO。最简单实现SSO的方法就是用Cookie,实现流程如下所示:
不然发现以上的方案是把信任存储在客户端的Cookie里,这种方法虽然实现方便但立马会让人质疑两个问题:
- Cookie不安全
- 不能跨域免登
对于第一个问题一般都是通过加密Cookie来处理,第二个问题是硬伤,其实这种方案的思路的就是要把这个信任关系存储在客户端,要实现这个也不一定只能用Cookie,用flash也能解决,flash的Shared Object API就提供了存储能力。
一般说来,大型系统会采取在服务端存储信任关系的做法,实现流程如下所示:
以上方案就是要把信任关系存储在单独的SSO系统(暂且这么称呼它)里,说起来只是简单地从客户端移到了服务端,但其中几个问题需要重点解决:
- 如何高效存储大量临时性的信任数据
- 如何防止信息传递过程被篡改
- 如何让SSO系统信任登录系统和免登系统
对于第一个问题,一般可以采用类似与memcached的分布式缓存的方案,既能提供可扩展数据量的机制,也能提供高效访问。对于第二个问题,一般采取数字签名的方法,要么通过数字证书签名,要么通过像md5的方式,这就需要SSO系统返回免登URL的时候对需验证的参数进行md5加密,并带上token一起返回,最后需免登的系统进行验证信任关系的时候,需把这个token传给SSO系统,SSO系统通过对token的验证就可以辨别信息是否被改过。对于最后一个问题,可以通过白名单来处理,说简单点只有在白名单上的系统才能请求生产信任关系,同理只有在白名单上的系统才能被免登录。
以上只是提供了些简单的实现技术,但需要强调的是这只是技术实现而已,仅仅是为了解决上面谈到的一些问题,SSO本身来说并不是什么高科技,有了这个认识比较有利于我们深入探索SSO
- 单点登录的实现原理
- 单点登录的实现原理
- 单点登录的实现原理
- 单点登录的实现原理
- 单点登录的实现原理
- 单点登录原理和java实现简单的单点登录
- 单点登录原理和java实现简单的单点登录
- 单点登录原理和java实现简单的单点登录
- 单点登录原理和java实现简单的单点登录
- 单点登录原理和java实现简单的单点登录
- 单点登录原理和java实现简单的单点登录
- 单点登录的原理和Java实现单点登录
- 单点登录原理和java实现简单的单点登录
- 单点登录实现原理
- 单点登录SSO的实现原理
- 单点登录SSO的实现原理
- 单点登录SSO的实现原理
- 单点登录SSO的实现原理
- 第10周项目1 程序的填充与阅读
- 第十周项目一 程序填空题变式
- 【java高级特性之反射】Field类和Constructor类的使用
- CVBS示波器图形
- 通过 HttpServletRequestWrapper 解决GET方式中文参数乱码
- 单点登录的实现原理
- Windows server 2008 安装虚拟机以及双网卡通过主机连接双局域网记录
- Linux CENTOS下编译openjdk7
- 理解AngularJS中的依赖注入
- 解决:用户 'NT AUTHORITYNETWORK SERVICE' 登录失败 ASP.NET程序
- C++文件IO
- location error
- 【J2SE】collection和collections的区别
- sicily 1036. Crypto Columns和multimap详解