WEB安全（十六）单点登录的基本实现

概述

单点登录(SingleSign-On，SSO)是一种帮助用户快捷访问网络中多个站点的安全通信技术。单点登录系统基于一种安全的通信协议，该协议通过多个系统之间的用户身份信息的交换来实现单点登录。

使用单点登录系统时，用户只需要登录一次，就可以访问多个系统，不需要记忆多个口令密码。单点登录使用户可以快速访问网络，从而提高工作效率，同时也能帮助提高系统的安全性。

单点登录 与 单点登出

类似于Session的思路，需要将服务器生成的SessionId存储在服务器内存中，登录验证通过后，返回SessionId存储在浏览器Cookie中。

实现单点登录，同样是登录验证通过后，生成AuthToken交给客户端中保存。用户在浏览系统需要登录时，客户端将AuthToken提交给SSO服务校验登录状态。

对于登录信息的存储，推荐使用Redis集群，既可保证高可用，又可以线性扩充，还可以做负载均衡。

图片来源于https://ken.io/note/sso-design-implement

登录时序图

服务端根据请求是否携带Authtoken来判断登录状态，如未登录，将请求从业务系统跳转到SSO站点，完成登录校验后，将Authtoken保存在Cookie中，跳转回业务系统。

登录获取信息、状态校验

用户登录后Authtoken保存在Cookie中，下次请求会将Authtoken携带到服务器端。
通过SSO服务，完成对用户状态的校验/用户登录信息的获取。

登出时序图

1、服务端清除内存中的登录状态。

2、客户端清除存储的AuthToken。