JAVA单点登录详解

用户登录：
- 用户访问需要认证的资源，系统检测到用户未登录，将用户重定向到认证服务器（Authorization Server）。
- 用户在认证服务器上输入凭据（如用户名和密码），进行身份验证。
生成令牌：
- 如果用户凭据有效，认证服务器生成一个令牌（通常是JWT），该令牌包含了用户的身份信息和授权信息，并通过签名保护其完整性。
- 令牌可能会包括一些声明（claims），如用户ID、过期时间、权限等信息。
返回令牌：
- 认证服务器将生成的令牌返回给用户的客户端（例如浏览器或移动应用）。客户端通常会将令牌存储在浏览器的Local Storage、Session Storage，或作为Cookie。
令牌验证：
- 用户访问其他受保护的资源时，客户端会将令牌附加到HTTP请求的头部（通常是Authorization: Bearer <token>）。
- 应用服务器接收到请求后，验证令牌的有效性（检查签名、过期时间、用户权限等）。
- 如果令牌有效，服务器允许用户访问资源，否则返回未授权错误。
访问资源：
- 验证通过后，服务器根据令牌中的用户信息提供相应的服务，用户无需再次登录即可访问其他相关系统。

优点

跨域支持： 令牌可以在不同域之间传递，适用于分布式系统和跨域请求场景。
无状态： 服务器不需要保存会话数据，令牌中包含了所有必要的信息，使得应用更加可扩展。
灵活性高： 令牌可以包含丰富的用户信息和权限数据，并且可以设置精细的过期时间。
单点故障少： 因为服务器不需要维护用户会话状态，令牌机制可以减少单点故障的风险。

缺点

令牌失效管理复杂： 一旦令牌签发，直到令牌过期之前，令牌都是有效的，因此在令牌丢失或被盗用的情况下，无法立即注销已发出的令牌。
安全性依赖传输和存储： 需要确保令牌的传输（如HTTPS）和存储（如本地存储）的安全，防止令牌被窃取。

3.3 基于OAuth的SSO

原理： OAuth 2.0和OpenID Connect（OIDC）是常用的授权和身份验证协议，适用于跨应用、跨域的SSO场景。OAuth 2.0主要用于授权，而OIDC则是在OAuth 2.0基础上添加了身份验证层。用户在OAuth/OIDC提供者处登录并授权后，客户端应用可以获得访问令牌和ID令牌，用于访问资源服务器和获取用户信息。

实现步骤：

用户访问应用A，应用A将用户重定向到OAuth/OIDC认证服务器进行登录。
用户登录并授权后，OAuth/OIDC认证服务器将授权码或令牌返回给应用A。
应用A使用授权码从认证服务器换取访问令牌和ID令牌。
应用A使用访问令牌访问资源服务器，使用ID令牌获取用户身份信息。
当用户访问应用B时，重复上述流程，但由于用户已经登录，认证服务器会直接返回令牌，实现无缝登录。

优点：

支持跨域、跨应用的单点登录。
安全性高，支持细粒度的权限管理和身份验证。
广泛应用于第三方登录，如使用Google、Facebook账户登录。

缺点：

实现较为复杂，涉及OAuth 2.0和OIDC协议的理解和实现。
需要管理Token的安全性和生命周期。

总结

基于Cookie的SSO适合同一域名或子域名下的简单应用，但对跨域支持不友好。
基于令牌的SSO使用JWT等Token进行跨域单点登录，适合分布式系统，但需要妥善管理Token。
基于OAuth/OpenID Connect的SSO是现代应用中最常见和最安全的方式，尤其适用于跨域、跨应用的场景，但实现复杂度较高。

3.4 基于Redis与Session结合的方式

将Redis与Session结合使用可以进一步提升单点登录（SSO）的性能和可扩展性。通过Redis来管理Session数据，可以实现分布式Session管理，确保在多台服务器间共享用户的登录状态。

方案概述

在这种架构下，所有的应用程序（比如AppA和AppB）在用户登录后，不再将Session数据保存在各自的本地内存中，而是统一存储到Redis中。这样无论用户请求落在哪台服务器上，都可以通过Redis访问到同样的Session数据，从而实现SSO。

实现步骤

用户请求登录：
- 用户访问AppA，AppA检测用户未登录，将用户重定向到CAS进行登录。
- 用户在CAS登录成功后，CAS生成一个全局唯一的Session ID（通常使用JWT或其他唯一标识符）。
- CAS将Session ID返回给AppA，AppA将Session数据（如用户信息）存储到Redis中，使用Session ID作为键。
应用程序获取Session：
- 当用户访问AppA或者AppB时，应用程序从请求中获取Session ID，并通过Redis查询相应的Session数据。
- 如果Session存在且有效，应用程序从Redis中加载用户信息，实现自动登录。
Session过期和注销：
- Session的有效期可以在Redis中设置TTL（Time To Live，生存时间）。
- 当用户注销时，应用程序删除Redis中的Session数据，并通知其他应用程序（如果有必要）。

除了以上方法，还有报错cookie+session的方式，结合CAS的方式等，更增加了单点登录在不同维度的安全性。

Wiper3

关注

26
点赞
踩
7

收藏

觉得还不错? 一键收藏
0
评论
JAVA单点登录详解

单点登录（Single Sign-On，简称SSO）是一种身份认证机制，允许用户在一个地方登录后，即可访问多个相关但独立的系统或应用程序，而不需要在每个系统中重新登录。Cookie存储在客户端，Session存储在服务器端。Session更安全，因为敏感信息不暴露给客户端。Cookie容易受到安全威胁，如XSS（跨站脚本攻击）。Cookie可以持久化保存到客户端，Session通常在会话结束或超时后失效。Cookie的大小有限，通常为4KB，而Session的数据容量则依赖于服务器的存储能力。
复制链接

扫一扫