SSO学习笔记

单点登录

多个应用系统中，只需登录一次，就可以访问其他相互信任的应用系统。
作用：解决多系统登录问题。

登录认证机制

1.单个系统

①用户首次访问，server端记录session，返回web端，写入cookie(用户唯一标识)
②用户再次访问，web端http请求带cookie，server端根据cookie找到对应session，验证用户是否登录。

2.同域下多个系统

同一个域下，可以通过二级域区分不同的系统，实现单点登录。
利用 cookie的顶域特征 和 session共享（例如 spring-session）
①用户首次访问app1，web1无cookie，跳转SSO登录页面，sso服务端记录session并设置共享，返回web端，写入cookie，设置为顶域。
②用户访问app2，web2就能从顶域中获取cookie，app2服务端也能获取到共享的session，验证通过。

3.不同域下多个系统

使用中央认证系统CAS(central authentation service)
app1 系统登录的流程：
①用户访问 app 系统，app 系统是需要登录的，但用户现在没有登录。
跳转到 CAS server，即 SSO 登录系统， SSO 系统也没有登录，弹出用户登录页。
②用户填写用户名、密码，SSO 系统进行认证后，将登录状态写入 SSO 的 session，浏览器（Browser）中写入 SSO 域下的 Cookie。
SSO 系统登录完成后会生成一个ST（Service Ticket），然后跳转到 app 系统，同时将 ST 作为参数传递给 app 系统。
③app 系统拿到 ST 后，从后台向 SSO 发送请求，验证 ST 是否有效。
验证通过后，app 系统将登录状态写入 session 并设置 app 域下的 cookie。
app2 系统时的流程：
①用户访问 app2 系统，app2 系统没有登录，跳转到 SSO。
由于 SSO 已经登录了，不需要重新登录认证。
②SSO 生成 ST ，浏览器跳转到 app2 系统，并将 ST 作为参数传递给 app2。
③app2 拿到 ST，后台访问 SSO，验证 ST 是否有效。
验证成功后，app2 将登录状态写入 session，并在 app2 域下写入 Cookie。

意义

单点登录的应用，对于用户能极大改善登录频率，及时访问到所需的资源。对于账户的管理，单点登录统一了身份认证和机制，更加便于管理。同时对于安全层面，单点登录为其他应用系统提供了更强的身份认证机制，从而提高了整体系统的安全性。

参考资料：
SSO（一）
SSO（二）
SSO（三）