【No.2】CAS单点登录的原理分析

上一篇说了基于Cookie的单点登录的实现：http://blog.csdn.net/readiay/article/details/52814001，虽然他实现简单，但是也问题颇多。例如：用户名密码不停传送，增加了被盗号的可能。另外，不能跨域！

1、基于Cookie的单点登录的回顾

      

基于Cookie的单点登录核心原理：

      将用户名密码加密之后存于Cookie中，之后访问网站时在过滤器（filter）中校验用户权限，如果没有权限则从Cookie中取出用户名密码进行登录，让用户从某种意义上觉得只登录了一次。

      该方式缺点就是多次传送用户名密码，增加被盗风险，以及不能跨域。同时www.qiandu.com与mail.qiandu.com同时拥有登录逻辑的代码，如果涉及到修改操作，则需要修改两处。

2、统一认证中心方案原理

      在生活中我们也有类似的相关生活经验，例如你去食堂吃饭，食堂打饭的阿姨（www.qiandu.com）告诉你，不收现金。并且告诉你，你去门口找换票的（passport.com）换小票。于是你换完票之后，再去找食堂阿姨，食堂阿姨拿着你的票，问门口换票的，这个票是真的吗？换票的说，是真的，于是给你打饭了。

      基于上述生活中的场景，我们将基于Cookie的单点登录改良以后的方案如下：

      

      经过分析，Cookie单点登录认证太过于分散，每个网站都持有一份登陆认证代码。于是我们将认证统一化，形成一个独立的服务。当我们需要登录操作时，则重定向到统一认证中心http://passport.com。于是乎整个流程就如上图所示：
      第一步：用户访问www.qiandu.com。过滤器判断用户是否登录，没有登录，则重定向（