java ltpa_剖析LtpaToken（实现B/S应用间的安全SSO）

一、WebSphere与Domino之间的SSO

首先让我们来了解一下Websphere与Domino之间是怎么完成SSO的：

1、Web用户向Websphere发起一个登录请求。

2、Websphere判断为合法用户，登录成功。

3、生成ltpatoken，将ltpatoken写入cookie。

这样，当Web用户后续向Domino发起登录请求时，Domino会找到存放在cookie信息中的ltpatoken信息，并且认为这个ltpatoken有效，完成在domino的登录过程。那么这里会有2个疑问。第1个，Domino怎么会找的到Websphere存放的cookie，这就是为什么配置SSO的时候需要2个系统是在同一个DNS域下面，因为浏览器cookie共享的限制，跨域不能共享cookie嘛(当然也能用一些其他的手段生成跨域的cookie，这样其实通过一定的开发是可以让LTPATOKEN跨域的，本案例不讨论这个问题)。第2个问题，domino找到这个token之后，凭什么认识这个ltpatoken，并且认为它有效呢，所以要求domino和Websphere在生成ltpatoken的时候就有某种约定。这就是为什么配置Domino SSO文档的时候需要引入Websphere的密钥了。有了这些前提Domino和Websphere之间就能互相认识对方生成的ltpatoken，并且从中读出需要登录的用户名，只要用户名匹配得上(这就是为什么W和D需要用同一个LDAP目录)，该用户就完成登录了。以上就是简单的Websphere与Domino之间SSO的原理。当然其实SSO过程还没有这么简单，比如还需要验证ltpatoken的有效期等。

现在我们知道实现SSO的关键在于LtpaToken，Websphe