单点登录-----读后感笔记

记简单了解单点登录之后的笔记

背景

随着微服务和分布式系统的流行，传统的在单机上通过session保存登陆状态的方式已经行不通了。此时需要一种高效的登录状态保存方案，能在一次登陆后，即可访问其他的内部系统，又可访问相同系统的不同的分布式的服务器。

什么是单点登录

单点登录SSO（Single Sign On）指的是在多个应用系统之间，只需登录一次，便可保持登陆状态，访问其他系统。

拿访问a.xyz.com举例，用户访问xyz网站，其中分别有人力系统a和财务系统b：

传统的单机登陆：

用户访问a系统，输入账号密码登陆后，a系统的服务器会保存相应的session信息，同时用户的浏览器也会保存a域的cookie。

如果用户登陆了a系统，想在访问b系统时无需再输入账号密码，该怎么实现呢？
1、服务器之间可实现session共享，例如spring-session
2、浏览器可保存顶域xyz的cookie，这样在访问a、b系统时都可以带入cookie使用。
但这是针对顶域相同的情况，若顶域不相同呢？如淘宝和天猫是两个不同的域名，怎么实现一次登录，相互授权访问呢？这时候我们可以使用到SSO单点登陆了！

SSO具体实现

CAS（Central Authentication Service）是SSO思想的一个实现服务。现在有一个a.xyz,com和b.xyz.com。

• 用户第一次未登录访问a.xyz.com，a系统会自动跳转到SSO
• 用户输入密码后，SSO系统保存了用户登陆状态的Session，同时用户的浏览器保存了SSO域的cookie
• SSO系统同时生成一个ST（Session Ticket），发送给a系统
• a系统拿到ST后，发送请求向SSO验证ST是否有效
• 验证成功后，a系统保存session并且浏览器保存a系统域的cookie

此时用户便完成了SSO的登录认证。接着访问b系统的流程：

• 用户访问b系统，由于未登录，b系统重定向到SSO系统
• 用户携带SSO的cookie重定向，SSO会返回一个ST给b系统
• b系统再向SSO发送请求验证ST可靠性
• 验证成功后，b系统保存session并且浏览器保存b系统域的cookie

这便是SSO的登陆流程了。