记简单了解单点登录之后的笔记
背景
随着微服务和分布式系统的流行,传统的在单机上通过session保存登陆状态的方式已经行不通了。此时需要一种高效的登录状态保存方案,能在一次登陆后,即可访问其他的内部系统,又可访问相同系统的不同的分布式的服务器。
什么是单点登录
单点登录SSO(Single Sign On)指的是在多个应用系统之间,只需登录一次,便可保持登陆状态,访问其他系统。
拿访问a.xyz.com举例,用户访问xyz网站,其中分别有人力系统a和财务系统b:
传统的单机登陆:
用户访问a系统,输入账号密码登陆后,a系统的服务器会保存相应的session信息,同时用户的浏览器也会保存a域的cookie。
如果用户登陆了a系统,想在访问b系统时无需再输入账号密码,该怎么实现呢?
1、服务器之间可实现session共享,例如spring-session
2、浏览器可保存顶域xyz的cookie,这样在访问a、b系统时都可以带入cookie使用。
但这是针对顶域相同的情况,若顶域不相同呢?如淘宝和天猫是两个不同的域名,怎么实现一次登录,相互授权访问呢?这时候我们可以使用到SSO单点登陆了!
SSO具体实现
CAS(Central Authentication Service)是SSO思想的一个实现服务。现在有一个a.xyz,com和b.xyz.com。
- 用户第一次未登录访问a.xyz.com,a系统会自动跳转到SSO
- 用户输入密码后,SSO系统保存了用户登陆状态的Session,同时用户的浏览器保存了SSO域的cookie
- SSO系统同时生成一个ST(Session Ticket),发送给a系统
- a系统拿到ST后,发送请求向SSO验证ST是否有效
- 验证成功后,a系统保存session并且浏览器保存a系统域的cookie
此时用户便完成了SSO的登录认证。接着访问b系统的流程:
- 用户访问b系统,由于未登录,b系统重定向到SSO系统
- 用户携带SSO的cookie重定向,SSO会返回一个ST给b系统
- b系统再向SSO发送请求验证ST可靠性
- 验证成功后,b系统保存session并且浏览器保存b系统域的cookie
这便是SSO的登陆流程了。