SSO中的Pattern

最新推荐文章于 2020-02-17 12:38:55 发布
最新推荐文章于 2020-02-17 12:38:55 发布
阅读量770 收藏
点赞数
分类专栏： 默认类别 文章标签： SSO WebService REST 算法 SVN

   SSO方案中太多平行对称的分支选择，就像博而赫斯那小径分岔的花园。刚手写完一个超迷你劲袖珍的SSO，顺着 SAML2.0和OpenID的规范，记录一下这些分岔点：

  1. 流程是从身份提供者还是消费者发起？
    身份提供者，也就是SSO Server了，又叫Id Provider，简称Idp。而身份消费者，SSO Client，在SAML里叫做Sp。
    身份提供者发起流程中，用户登录进SSO Server，SSO Server展现一个Portal/菜单，上有到各SSO Client的URL若干，每个URL上都已经加了身份信息的料。
    身份消费者发起流程中，Portal/菜单里是无料的普通URL(甚至用户直接就先跑去了Client的网站)，SSO Client发现本地Session里没有用户的身份信息，只好redirect重返SSO Server，最后Server再以有料的URL跳转回去。
    显然，前一种流程少了两次Redirect，速度更快，但Portal/菜单中的每个URL都深深的耦合着SSO Sever，又或者，有时根本就没有这么一个中央Portal的存在。
  2. URL参数中传送身份信息还是仅仅是指针 ？
    SSO Server 向 Client跳转时，可以大大方方的把身份信息放在URL参数里直接传输，也可以小心翼翼的只扔过来一个随机字符串(SAML中叫 Artifact)，Client拿着这个随机字串再到后台偷偷摸摸用WebService/REST接口问SSO Server拿到完整的身份信息。
    显然，前一种方式少了一次后台查询，速度更快，但没有后一种方式安全，后一种方式的WebService/REST接口还可传输任意格式的很多很多的信息。
  3. 安全措施是全文加密还是仅仅签名 ？
    有人喜欢全文(再加一个nonce )加密成长长一段密文，心中充满了安全感。也有人大胆的明文传输内容，只在最后加个签名来防伪(签名用简单的明文+密钥散列，或者HMAC加密散列算法)
    前者用户只看到长长一段火星文，不会让用户偷窥到什么，但字串暴长且加解密本身比较消耗CPU。
  4. SSO Client会自己解密/比对签名吗？
    一般，SSO Client会根据约定自己解密或根据明文生成签名进行比对，还要负责验证那个nonce不会已被使用或者已经超时等等。
    但也会可以有很懒的client，不懂这么复杂的安全加密算法，直接把收到的内容在后台用WebService/Rest接口发回给SSO Server帮忙搞定。



    刚刚手写那个SSO，身份提供者发起流程，在URL参数中传输加密的身份信息，由SSO Client自行解密，so，超简单...

  安民告示：
     由于晓钢的服务器出了点故障，SpringSide的主页和Wiki暂时不能访问，而以下部分是完好的：

  • 论坛：http://forum.springside.org.cn
  • 源码：http://springside.googlecode.com/svn/springside3/trunk/
  • 下载：http://www.sf.net/projects/springside

 

江南白衣
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
SSO统一身份认证——CAS Server安装启动（一）
CN華少的博客
07-14 1729
SSO统一身份认证——CAS Server安装启动(一) 背景 单点登录(SingleSignOn，SSO)，就是通过用户的一次性鉴别登录。当用户在身份认证服务器上登录一次以后，即可获得访问单点登录系统中其他关联系统和应用软件的权限，同时这种实现是不需要管理员对用户的登录状态或其他信息进行修改的，这意味着在多个应用系统中，用户只需一次登录就可以访问所有相互信任的应用系统。这种方式减少了由登录产生的...
跨域SSO实例安装和配置指南
08-01
本文档旨在为初次接触CAS（Central Authentication Service）系统的用户提供一个实际的操作指南，通过一个具体的跨域单点登录（Single Sign-On, SSO）示例来帮助读者快速理解和掌握CAS的工作原理及其在SSO场景中的...
基于spring的模拟ant路径匹配url-pattern
一个程序员的世界
01-11 811
public static void main(String[] args) { PathMatcher matcher = new AntPathMatcher(); String requestPath="/w/user/1/post"; String patternPath="/w/user/?/post"; boolean result = matcher.ma...
spring mvc中url-pattern的写法（解决静态资源不能访问的问题）
纸短情长的博客
02-17 1603
1.设置url-pattern为*.do(最为常见的方式) 只要你的请求url中包含配置的url-pattern，该url就可以到达DispatcherServlet。当然这里业内通常都将url-pattern配置为*.do的方式，所以你最好也这么去做。 2.设置url-pattern为/*(这种方式是很不好) 如果将url-pattern设置为/*之后，web项目中的jsp都不能访...
pattern.web
WHACKW的专栏
07-15 1721
The pattern.web module has tools for online data mining: asynchronous requests, a uniform API for web services (Google, Bing, Twitter, Facebook, Wikipedia, Wiktionary, Flickr, RSS), a HTML DOM parser,
实现SSO的CAS开源框架介绍
06-08
- **CAS Client**：集成到各个需要支持SSO的应用程序中，用来与CAS Server进行通信，获取或验证票据，从而完成用户的认证过程。 CAS的特点包括： - 支持多种编程语言：除了Java之外，还支持Perl、Python、ASP等语言...
单点登录sso-shiro-cas-maven
10-19
# sso-shiro-cas spring下使用shiro+cas配置单点登录，多个系统之间的访问，每次只需要登录一次 ## 系统模块说明 1. cas： 单点登录模块，这里直接拿的是cas的项目改了点样式而已 2. doc： 文档目录，里面有数据库...
单点登录sso的原理与java实现详细讲解与示例(文档与源码)
06-23
单点登录（Single Sign-On，简称SSO）是一种网络应用中的身份验证机制，它允许用户在一次登录后，就可以在多个相互独立的应用系统之间自由切换，而无需再次进行身份验证。这种技术极大地提升了用户体验，同时也简化...
java单点登录系统.zip
03-30
1、boy-sso-example项目中直接在web.xml中添加如下代码，需要注意的是需要依赖boy-sso-client这个项目。 <filter-name>SSOAuth <filter-class>com.boy.sso.client.SSOFilter</filter-class> <!-- 认证...
Spring Boot 定制URL匹配规则的方法
weixin_34095889的博客
07-10 1913
事情的起源：有人问我，说编写了一个/hello访问路径，但是吧，不管是输入/hello还是/hello.html，还是/hello.xxx都能进行访问。当时我还以为他对代码进行处理了，后来发现不是，后来发现这是Spring Boot路由规则。好了，有废话了下，那么看看我们解决上面这个导致的问题。 构建web应用程序时，并不是所有的URL请求都遵循默认的规则。有时，我们希望RESTful URL匹...
springMVC的url-pattern
另一个世界
08-22 1534
web.xml中 &lt;servlet&gt; &lt;servlet-name&gt;springmvc&lt;/servlet-name&gt; &lt;servlet-class&gt;org.springframework.web.servlet.DispatcherServlet&lt;/servlet-class&gt; &lt;...
JavaWeb开发中，servlet的url-pattern的映射规则
tiger的专栏
10-31 3228
原文出处：http://www.cnblogs.com/mailingfeng/archive/2012/04/05/2432687.html
DDR 内存子系统常见硬件错误记及软件诊断算法
╰☆╮EvilCode的专栏╭☆╯
10-23 7173
<br />在Uboot下，Denx针对常见内存故障实现了严格的DDR检测程序。下图分三个阶段分别描述了检测数据线，地址线和DDR物理存储器件的过程和方法。科学是严谨的，来不得半点侥幸, 而DDR子系统又是很容易出故障却很难debug的。Denx设计的这一套算法堪称DDR内存检测之“铁面无私包青天”！<br /><br />为什么先检测数据线？<br />因为数据线如果是断开的，一切无从谈起！第二步是检测地址线，只有数据线地址线都ok，检测内存的存储单元才有意义，这样的顺序也利于分割定位问题。1楼的test
android基础知识10：webservice 02:REST
编程资料大全
04-08 192
本文主要介绍android客户端如何使用webservice。第一篇介绍ksoap2，第二篇介绍rest。 android基础知识10：webservice 01:KSOAP2 android基础知识10：webservice 02:REST 1、REST实例 最近项目中采用Apache CXF 的REST 方式发布WebService实现，Android...
使用OAuth2的SSO分析
热门推荐
xiejx618的专栏
04-01 6万+
参考:https://github.com/spring-guides/tut-spring-security-and-angular-js/blob/master/oauth2-vanilla/README.adoc 1.浏览器向UI服务器点击触发要求安全认证 2.跳转到授权服务器获取授权许可码 3.从授权服务器带授权许可码跳回来 4.UI服务器向授权服务器获取AccessToken
SSO - CAS：不拦截指定url过滤
探索丶挑战丶突破
07-09 1万+
首先我们看一下我们客户端中web.xml中的拦截器配置 &lt;filter&gt; &lt;filter-name&gt;CASFilter&lt;/filter-name&gt; &lt;filter-class&gt;org.jasig.cas.client.authentication.AuthenticationFilter&lt;/filte...
#SpringMVC--理解web.xml中的 url-pattern标签及其使用范围
流年梦里风起舞
09-16 2万+
在web.xml中，我们通过下面的标签来匹配客户端发出的请求： &amp;amp;lt;servlet-mapping&amp;amp;gt; &amp;amp;lt;servlet-name&amp;amp;gt;yzh_ssh&amp;amp;lt;/servlet-name&amp;amp;gt; &amp;amp;lt;url-pattern&amp;amp;gt;/*&amp;amp;lt;/url-patt
Springmvc3 拦截器excludeUrlPattern
zhanweichun的专栏
04-26 1000
在用springmvc3时经常会碰到登录拦截这种需求，最新想到的办法是用拦截器，但在用拦截器时想让某些静态文件和某些url不需要拦截，实现如下： spring-servlet.xml: &lt;mvc:resources mapping="/resources/**" location="/resources/" cache-period="31556926"/&gt; ...
spring sso代码案例
最新发布
04-07
以下是一个简单的Spring SSO代码案例： 1. 首先，需要在两个应用程序中添加以下依赖项： ```xml <dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-config</artifactId> <version>5.2.2.RELEASE</version> </dependency> <dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-web</artifactId> <version>5.2.2.RELEASE</version> </dependency> <dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-saml2-core</artifactId> <version>1.0.10.RELEASE</version> </dependency> ``` 2. 在两个应用程序的Spring配置文件中，配置Spring Security和SAML： ```xml <!-- 应用程序1的配置文件 --> <bean id="metadata" class="org.springframework.security.saml.metadata.CachingMetadataManager"> <constructor-arg> <list> <bean class="org.opensaml.saml2.metadata.provider.HTTPMetadataProvider"> <constructor-arg value="http://localhost:8081/metadata"/> <constructor-arg value="5000"/> <property name="parserPool" ref="parserPool"/> </bean> </list> </constructor-arg> </bean> <bean id="samlEntryPoint" class="org.springframework.security.saml.SAMLEntryPoint"> <property name="defaultProfileOptions"> <bean class="org.springframework.security.saml.websso.WebSSOProfileOptions"> <property name="includeScoping" value="false"/> </bean> </property> </bean> <bean id="metadataGeneratorFilter" class="org.springframework.security.saml.metadata.MetadataGeneratorFilter"> <constructor-arg> <bean class="org.springframework.security.saml.metadata.CachingMetadataManager"> <constructor-arg> <list> <bean class="org.opensaml.saml2.metadata.provider.HTTPMetadataProvider"> <constructor-arg value="http://localhost:8080/metadata"/> <constructor-arg value="5000"/> <property name="parserPool" ref="parserPool"/> </bean> </list> </constructor-arg> </bean> </constructor-arg> </bean> <bean id="SAMLUserDetailsService" class="com.example.sso.SAMLUserDetailsServiceImpl"/> <bean id="samlWebSSOFilter" class="org.springframework.security.saml.websso.WebSSOProfileConsumerImpl"> <constructor-arg> <bean class="org.springframework.security.saml.websso.WebSSOProfileOptions"> <property name="includeScoping" value="false"/> </bean> </constructor-arg> <property name="userDetailsService" ref="SAMLUserDetailsService"/> </bean> <bean id="samlLogoutFilter" class="org.springframework.security.saml.websso.SingleLogoutProfileImpl"> <property name="ssoLogoutURL" value="http://localhost:8081/logout"/> </bean> <bean id="samlLogoutProcessingFilter" class="org.springframework.security.saml.websso.SingleLogoutProfileImpl"> <constructor-arg> <bean class="org.springframework.security.saml.websso.SingleLogoutProfileOptions"> <property name="requireSignedLogoutMessages" value="false"/> </bean> </constructor-arg> </bean> <security:http entry-point-ref="samlEntryPoint"> <security:intercept-url pattern="/saml/**" access="IS_AUTHENTICATED_FULLY"/> <security:custom-filter before="FIRST" ref="metadataGeneratorFilter"/> <security:custom-filter after="BASIC_AUTH_FILTER" ref="samlWebSSOFilter"/> <security:custom-filter before="LOGOUT_FILTER" ref="samlLogoutFilter"/> <security:custom-filter after="LOGOUT_FILTER" ref="samlLogoutProcessingFilter"/> </security:http> <security:authentication-manager> <security:authentication-provider ref="SAMLAuthenticationProvider"/> </security:authentication-manager> <bean id="SAMLAuthenticationProvider" class="org.springframework.security.saml.SAMLAuthenticationProvider"> <property name="userDetails" ref="SAMLUserDetailsService"/> <property name="forcePrincipalAsString" value="false"/> </bean> <!-- 应用程序2的配置文件 --> <bean id="metadata" class="org.springframework.security.saml.metadata.CachingMetadataManager"> <constructor-arg> <list> <bean class="org.opensaml.saml2.metadata.provider.HTTPMetadataProvider"> <constructor-arg value="http://localhost:8080/metadata"/> <constructor-arg value="5000"/> <property name="parserPool" ref="parserPool"/> </bean> </list> </constructor-arg> </bean> <bean id="samlEntryPoint" class="org.springframework.security.saml.SAMLEntryPoint"> <property name="defaultProfileOptions"> <bean class="org.springframework.security.saml.websso.WebSSOProfileOptions"> <property name="includeScoping" value="false"/> </bean> </property> </bean> <bean id="metadataGeneratorFilter" class="org.springframework.security.saml.metadata.MetadataGeneratorFilter"> <constructor-arg> <bean class="org.springframework.security.saml.metadata.CachingMetadataManager"> <constructor-arg> <list> <bean class="org.opensaml.saml2.metadata.provider.HTTPMetadataProvider"> <constructor-arg value="http://localhost:8081/metadata"/> <constructor-arg value="5000"/> <property name="parserPool" ref="parserPool"/> </bean> </list> </constructor-arg> </bean> </constructor-arg> </bean> <bean id="SAMLUserDetailsService" class="com.example.sso.SAMLUserDetailsServiceImpl"/> <bean id="samlWebSSOFilter" class="org.springframework.security.saml.websso.WebSSOProfileConsumerImpl"> <constructor-arg> <bean class="org.springframework.security.saml.websso.WebSSOProfileOptions"> <property name="includeScoping" value="false"/> </bean> </constructor-arg> <property name="userDetailsService" ref="SAMLUserDetailsService"/> </bean> <bean id="samlLogoutFilter" class="org.springframework.security.saml.websso.SingleLogoutProfileImpl"> <property name="ssoLogoutURL" value="http://localhost:8080/logout"/> </bean> <bean id="samlLogoutProcessingFilter" class="org.springframework.security.saml.websso.SingleLogoutProfileImpl"> <constructor-arg> <bean class="org.springframework.security.saml.websso.SingleLogoutProfileOptions"> <property name="requireSignedLogoutMessages" value="false"/> </bean> </constructor-arg> </bean> <security:http entry-point-ref="samlEntryPoint"> <security:intercept-url pattern="/saml/**" access="IS_AUTHENTICATED_FULLY"/> <security:custom-filter before="FIRST" ref="metadataGeneratorFilter"/> <security:custom-filter after="BASIC_AUTH_FILTER" ref="samlWebSSOFilter"/> <security:custom-filter before="LOGOUT_FILTER" ref="samlLogoutFilter"/> <security:custom-filter after="LOGOUT_FILTER" ref="samlLogoutProcessingFilter"/> </security:http> <security:authentication-manager> <security:authentication-provider ref="SAMLAuthenticationProvider"/> </security:authentication-manager> <bean id="SAMLAuthenticationProvider" class="org.springframework.security.saml.SAMLAuthenticationProvider"> <property name="userDetails" ref="SAMLUserDetailsService"/> <property name="forcePrincipalAsString" value="false"/> </bean> ``` 3. 创建一个SAMLUserDetailsService实现类： ```java @Service public class SAMLUserDetailsServiceImpl implements SAMLUserDetailsService { @Override public Object loadUserBySAML(SAMLCredential credential) throws UsernameNotFoundException { String userId = credential.getNameID().getValue(); List<GrantedAuthority> authorities = new ArrayList<>(); authorities.add(new SimpleGrantedAuthority("ROLE_USER")); return new User(userId, "", authorities); } } ``` 4. 启动两个应用程序，访问其中一个应用程序的SAML登录页面，然后使用SAML凭据登录。您将被重定向到另一个应用程序，并自动登录。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值