聊聊单点登录（SSO）

最新推荐文章于 2025-08-21 09:53:49 发布

原创最新推荐文章于 2025-08-21 09:53:49 发布 · 1k 阅读

7 ·

CC 4.0 BY-SA版权

文章标签：

#单点登录

写在前面

单点登录（Single Sign-On，SSO）是一种身份验证方法，允许用户使用一组凭据（如用户名和密码）在多个相关但独立的系统中进行身份验证。这样，用户只需要登录一次，就可以访问所有需要身份验证的应用程序或服务，而无需在每个应用程序中都输入用户名和密码。

SSO 提供了许多好处，包括：

增强安全性：通过集中管理用户身份验证，减少了密码泄露的风险。
提高用户体验：用户不再需要记住多个用户名和密码，简化了登录过程。
降低 IT 成本：减少了对多个系统的身份验证管理和维护。

常见的 SSO 模式

1. Session + Cookie

在这种模式下，用户首次登录时，服务器会生成一个唯一的会话 ID，并将其存储在服务器端的会话存储中。同时，服务器也会在用户的浏览器中设置一个 cookie，包含该会话 ID。每次用户访问受保护的资源时，浏览器都会发送这个 cookie，服务器通过会话 ID 来验证用户的身份。

优点：

实现简单，易于理解。
对于小规模系统，性能和安全性都可以接受。

缺点：

会话存储可能会成为性能瓶颈，尤其是在大规模系统中。
如果服务器端的会话存储被攻击或泄露，所有用户的会话都可能被盗用。

2. Token

在 token 模式中，服务器在用户登录时生成一个加密的 token，并将其返回给客户端。客户端在后续的请求中将这个 token 发送给服务器，服务器解密 token 并验证用户的身份。

优点：

不需要在服务器端存储会话信息，适合大规模分布式系统。
可以使用标准的加密算法来保护 token 的安全性。

缺点：

如果 token 被盗用，攻击者可以假冒用户进行操作，直到 token 过期或被撤销。
token 的有效期需要精心设计，过短会导致频繁的重新登录，过长则增加了安全风险。

3. Token + Refresh Token

为了解决上述问题，引入了 refresh token。用户登录时，服务器会生成两个 token：一个短期的 access token 和一个长期的 refresh token。客户端在每次请求中都使用 access token，直到它过期。然后，客户端使用 refresh token 从服务器获取新的 access token。

优点：

提供了更好的安全性和灵活性。
可以在不影响用户体验的情况下，定期更新 access token。

缺点：

实现相对复杂，需要管理两个 token。
如果 refresh token 被盗用，攻击者可以获取新的 access token，直到 refresh token 过期或被撤销。

Token 无感刷新的实现及优化

Token 无感刷新是指在 access token 过期时，客户端可以自动使用 refresh token 获取新的 access token，而不需要用户重新登录。以下是实现和优化的步骤：

设置合理的 token 有效期：access token 的有效期应该足够短，以减少被盗用的风险；refresh token 的有效期可以相对较长，但也需要定期更新。
使用 HTTP 401 状态码：当 access token 过期时，服务器应该返回 HTTP 401 状态码，提示客户端重新获取 access token。
客户端自动刷新 token：客户端在接收到 HTTP 401 状态码后，应该自动使用 refresh token 从服务器获取新的 access token。
使用 token 黑名单：服务器可以维护一个 token 黑名单，记录已经被撤销或过期的 token，以防止它们被再次使用。
限制 token 的使用次数：可以设置一个阈值，限制 refresh token 可以被用来获取新的 access token 的次数，以防止滥用。