单点登录系统的设计与实现方案

目的：

对目前已有的 Web 应用系统，和将来待开发的 Web 应用系统系统进行集成，实现单点登录。

要求：

   1. 对已有的 Web 应用系统不作大规模改造。
   2. 不限制待开发的 Web 应用系统的开发工具。
   3. 不增加待开发系统的开发难度。

分析：

   1. 目前，已有的系统都各自维护自己的一套用户库，每个系统中的用户数、用户名、密码几乎都各不相同。要将已有的用户库进行统一是不现实的。因此，我们可以通过将单点登录系统中的用户与其它个系统中的用户建立映射，来实现用一个帐号来管理多个系统的目的。

   2. 已有的 Web 应用系统、以及待开发的 Web 应用系统，可能不在同一个域下，虽然会话本身是保存在服务器端，但是会话 id 是需要 cookie 来传递的，而 cookie 不允许跨域访问，而且考虑到各个系统的开发工具也各不相同，即使在同一个域下，不同的开发工具所开发的应用程序之间也很难共享会话，因此要用共享会话的方式来实现单点登录也不现实。因此我们通过在客户端浏览器、单点登录系统和 Web 应用系统之间传递临时会话，并让 Web 应用系统直接到单点登录系统中获取认证信息来实现单点登录。为保证不同开发工具都能够到单点登录系统获取认证信息，我们采用 xml-rpc 在 Web 应用系统和单点登录系统之间进行通讯。

实现：

单点登录系统中设置 4 个表：

   1. 单点登录系统用户表，包含 user_id，name，password 3 个字段。

   2. Web 应用系统表，包含 app_id，name（Web 应用系统名称），checkurl（Web 应用系统中用来验证用户登录的程序地址） 3 个字段。

   3. 单点登录系统用户到各个 Web 应用系统的用户映射表，包含id，user_id，app_id，name，password 5 个字段。

   4. 临时会话表，包含 hash（临时会话的 hash 编号），id（对应单点登录系统用户到各个 Web 应用系统的用户映射表中的 id 字段） 2个字段。

用户登录单点登录系统时，通过单点登录系统用户表中的字段来验证用户身份。登录以后，用户可以设置各个系统到该系统用户的映射关系。设置好以后，当通过该系统进入其他某个 Web 应用系统时，该系统会为该用户和该系统生成一个临时会话编号（hash），并转到 Web 应用系统中的登录检测页面，登录检测页面通过获取到的临时会话编号，来调用单点登录系统的获取用户名和密码的 xml-rpc API，如果用户名密码如果正确，则转到正常登录后的页面，如果不正确，则转到登录错误的页面。这里，xml-rpc API 在返回用户名和密码后，将删除单点登录系统数据库中相应的临时会话，这样不但用户名、密码都是在服务器之间进行传递的，并且临时会话存在的时间也是尽可能的短，因此只要保证服务器之间的对话不能被监听，即可保证安全性。

已有系统需要增加一个用于单点登录系统的登录验证页面，该页面工作过程大致如下：

   1. 获取 客户端 hash 值
   2. 通过 hash 值得到用户名和密码（xml-rpc 调用）
   3. 通过用户名和密码进行身份验证
   4. 返回身份验证后的页面