单点登录实现原理（SSO）

简介

1、单点登录是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统的保护资源，若用户在某个应用系统中进行注销登录，所有的应用系统都不能再直接访问保护资源，像一些知名的大型网站，如：淘宝与天猫、新浪微博与新浪博客等都用到了这个技术。

原理

一、单点登录
1.1、有一个独立的认证中心，只有认证中心才能接受用户的用户名和密码等信息进行认证，其他系统不提供登录入口，只接受认证中心的间接授权。间接授权通过令牌实现，当用户提供的用户名和密码通过认证中心认证后，认证中心会创建授权令牌，在接下来的跳转过程中，授权令牌作为参数发送给各个子系统，子系统拿到令牌即得到了授权，然后创建局部会话。
1.2、示例：
单点登录的原理

1、下面对上图进行解释：
1.1、当用户还没进行用户登录的时候用户去访问系统1的保护资源 ，系统1检测到用户还没登录，跳转至SSO认证中心，SSO认证中心也发现用户没有登录，就跳转到用户至认证中心的登录页面
1.2、用户在登录页面提交用户相应信息后，认证中心会校验用户信息，如果用户信息正确的话认证中心就会创建与该用户的全局会话（全局会话过期的时候，用户就需要重新登录了。全局会话中存的信息可能有令牌，用户信息，及该在各个系统的一些情况），同时创建授权令牌，然后进行下一步，否则认证中心给出提示（用户信息有误），待用户再次点击登录的时候，再一次进行校验用户信息
1.3、认证中心带着令牌跳转到用户最初请求的地址（系统1），系统1拿到令牌后去SSO认证中心校验令牌是否有效，SSO认证中心校验令牌，若该令牌有效则进行下一步
1.4、注册系统1，然后系统1使用该令牌创建和用户的局部会话（若局部会话过期，跳转至SSO认证中心，SSO认证中心发现用户已经登录，然后执行第3步），返回受保护资源

2、用户已经通过认证中心的认证后
2.1、用户访问系统2的保护资源，系统2发现用户未登录，跳转至SSO认证中心，SSO认证中心发现用户已经登录，就会带着令牌跳转回系统2，系统2拿到令牌后去SSO认证中心校验令牌是否有效，SSO认证中心返回有效，注册系统2，系统2使用该令牌创建与用户的局部会话，返回受保护资源。

3、如果系统1的局部会话存在的话，当用户去访问系统1的保护资源时，就直接返回保护资源，不需要去认证中心验证了

局部会话存在，全局会话一定存在；全局会话存在，局部会话不一定存在；全局会话销毁，局部会话必须销毁
如果在校验令牌过程中发现客户端令牌和服务器端令牌不一致或者令牌过期的话，则用户之前的登录就过期了，用户需要重新登录

关于令牌可参考：基于跨域单点登录令牌的设计与实现

二、单点注销
1、在一个子系统中注销，全局会话也会被注销，所有子系统的会话都会被注销
2、示例：
单点注销原理

用户向系统1发出注销请求，系统1根据用户与系统1建立的会话id从会话中拿到令牌，向SSO认证中心发起注销请求，认证中心校验令牌有效，会销毁全局会话，同时取出此令牌注册的系统地址，认证中心向所有注册系统发出注销请求，各系统收到注销请求后销毁局部会话，认证中心引导用户跳转值登录页面。

三、整体陈述
1、单点登录涉及SSO认证中心与多个子系统，子系统与SSO认证中心需要通信（交换令牌、校验令牌及发起注销请求等），子系统中包含SSO的客户端，SSO认证中心是服务端
2、认证中心与客户端通信可通过 httpClient、web service、rpc、restful api（url是其中一种） 等实现
3、客户端与服务器端的功能
3.1、客户端：
（1）拦截子系统未登录用户请求，跳转至sso认证中心
（2）接收并存储sso认证中心发送的令牌
（3）与服务器端通信，校验令牌的有效性
（4）建立局部会话
（5）拦截用户注销请求，向sso认证中心发送注销请求
（6）接收sso认证中心发出的注销请求，销毁局部会话
3.2、服务器端：
（1）验证用户的登录信息
（2）创建全局会话
（3）创建授权令牌
（4）与客户端通信发送令牌
（5）校验客户端令牌有效性
（6）系统注册
（7）接收客户端注销请求，注销所有会话

本文参考：单点登录原理与简单实现
本文有些地方可能写的不对，如果发现有啥错误的话，欢迎赐教，不胜感激。
如需转载请加上出处：http://www.cnblogs.com/zhuchenglin/p/8968530.html