单点登录（SSO）业务

目录

一、什么是单点登录？

二、回顾单系统登录

三、多系统登录的问题与解决

1、 Session不共享问题

2、Cookie跨域的问题

3、CAS原理

---

原文链接：面试官：你连SSO都不懂，就别来面试了-CSDN博客

一、什么是单点登录？

单点登录的英文名叫做：Single Sign On（简称SSO）。

在初学/以前的时候，一般我们就单系统，所有的功能都在同一个系统上。

后来，我们为了合理利用资源和降低耦合性，于是把单系统拆分成多个子系统。

• 回顾：分布式基础知识

比如阿里系的淘宝和天猫，很明显地我们可以知道这是两个系统，但是你在使用的时候，登录了天猫，淘宝也会自动登录。简单来说，单点登录就是在多个系统中，用户只需一次登录，各个系统即可感知该用户已经登录。

二、回顾单系统登录

一般，单系统实现登录会这样做：

• 登录：将用户信息保存在Session对象中
• 如果在Session对象中能查到，说明已经登录
• 如果在Session对象中查不到，说明没登录（或者已经退出了登录）
• 注销（退出登录）：从Session中删除用户的信息
• 记住我（关闭掉浏览器后，重新打开浏览器还能保持登录状态）：配合Cookie来用

单系统登录的思路：

• 用户登录时，验证用户的账户和密码
• 生成一个Token保存在数据库中，将Token写到Cookie中
• 将用户数据保存在Session中
• 请求时都会带上Cookie，检查有没有登录，如果已经登录则放行

三、多系统登录的问题与解决

1、 Session不共享问题

单系统登录功能主要是用Session保存用户信息来实现的，但我们清楚的是：多系统即可能有多个Tomcat，而Session是依赖当前系统的Tomcat，所以系统A的Session和系统B的Session是不共享的。

解决系统之间Session不共享问题有一下几种方案：

• Tomcat集群Session全局复制（集群内每个tomcat的session完全同步）【会影响集群的性能呢，不建议】
• 根据请求的IP进行Hash映射到对应的机器上（这就相当于请求的IP一直会访问同一个服务器）【如果服务器宕机了，会丢失了一大部分Session的数据，不建议】
• 把Session数据放在Redis中（使用Redis模拟Session）【建议】
  • 如果还不了解Redis的同学，建议移步（Redis合集）

我们可以将登录功能单独抽取出来，做成一个子系统。

SSO 登录思路：

• 将登陆功能抽取为一个系统（SSO），其他系统请求SSO进行登录
• 本来将用户信息存到Session，现在将用户信息存到Redis

具体实现：

• SSO系统生成一个token，并将用户信息存到Redis中，并设置过期时间
• 其他系统请求SSO系统进行登录，得到SSO返回的token，写到Cookie中
• 每次请求时，Cookie都会带上，拦截器得到token，判断是否已经登录。

2、Cookie跨域的问题

上面我们解决了Session不能共享的问题，但其实还有另一个问题。Cookie是不能跨域的。

比如说，我们请求<https://www.google.com/>时，浏览器会自动把google.com的Cookie带过去给google的服务器，而不会把<https://www.baidu.com/>的Cookie带过去给google的服务器。

这就意味着，由于域名不同，用户向系统A登录后，系统A返回给浏览器的Cookie，用户再请求系统B的时候不会将系统A的Cookie带过去。

针对Cookie存在跨域问题，有几种解决方案：

• 服务端将Cookie写到客户端后，客户端对Cookie进行解析，将Token解析出来，此后请求都把这个Token带上就行了
• 多个域名共享Cookie，在写到客户端的时候设置Cookie的domain。
• 将Token保存在SessionStroage中（不依赖Cookie就没有跨域的问题了）

到这里，我们已经可以实现单点登录了。

3、CAS原理

说到单点登录，就肯定会见到这个名词：CAS （Central Authentication Service），下面说说CAS是怎么搞的。

如果已经将登录单独抽取成系统出来，我们还能这样玩。现在我们有两个系统，分别是 www.java3y.com和www.java4y.com，一个 SSOwww.sso.com。

首先，用户想要访问系统Awww.java3y.com受限的资源(比如说购物车功能，购物车功能需要登录后才能访问)，系统Awww.java3y.com发现用户并没有登录，于是重定向到sso认证中心，并将自己的地址作为参数。请求的地址：www.sso.com?service=www.java3y.com

sso认证中心发现用户未登录，将用户引导至登录页面，用户进行输入用户名和密码进行登录，用户与认证中心建立全局会话（生成一份Token，写到Cookie中，保存在浏览器上）。

随后，认证中心重定向回系统A，并把Token携带过去给系统A，重定向的地址：www.java3y.com?token=xxxxxxx

接着，系统A去sso认证中心验证这个Token是否正确，如果正确，则系统A和用户建立局部会话（创建Session）。到此，系统A和用户已经是登录状态了。

此时，用户想要访问系统Bwww.java4y.com受限的资源(比如说订单功能，订单功能需要登录后才能访问)，系统Bwww.java4y.com发现用户并没有登录，于是重定向到sso认证中心，并将自己的地址作为参数。请求的地址：www.sso.com?service=www.java4y.com

注意，因为之前用户与认证中心www.sso.com已经建立了全局会话（当时已经把Cookie保存到浏览器上了），所以这次系统B重定向到认证中心www.sso.com是可以带上Cookie的。

认证中心根据带过来的Cookie发现已经与用户建立了全局会话了，认证中心重定向回系统B，并把Token携带过去给系统B，重定向的地址：www.java4y.com?token=xxxxxxx

接着，系统B去sso认证中心验证这个Token是否正确，如果正确，则系统B和用户建立局部会话（创建Session）。到此，系统B和用户已经是登录状态了。

看到这里，其实SSO认证中心就类似一个中转站。