什么是单点登录
单点登录(Single Sign On),简称为 SSO,是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中,用户只需要登录一次就可以访问所有相互信任的应用系统。
我们目前的系统存在诸多子系统,而这些子系统是分别部署在不同的服务器中,那么使用传统方式的session是无法解决的,我们需要使用相关的单点登录技术来解决。
我们为何要单点登录系统
现在随着微服务的概念拆分的系统越来越多,对于服务与服务之间可以采用分布式服务通信,前台系统交互或终端与服务系统交互可以采用HTTP或RESTful接口通信。
什么是CAS
CAS 是 Yale 大学发起的一个开源项目,旨在为 Web 应用系统提供一种可靠的单点登录方法,CAS 在 2004 年 12 月正式成为 JA-SIG 的一个项目。CAS 具有以下特点:
【1】开源的企业级单点登录解决方案。
【2】CAS Server 为需要独立部署的 Web 应用。
【3】CAS Client 支持非常多的客户端(这里指单点登录系统中的各个 Web 应用),包括 Java, .Net, PHP, Perl, Apache, uPortal, Ruby 等。
从结构上看,CAS 包含两个部分: CAS Server 和 CAS Client。CAS Server 需要独立部署,主要负责对用户的认证工作;CAS Client 负责处理对客户端受保护资源的访问请求,需要登录时,重定向到 CAS Server。
下面讨论以终端与服务系统之间的单点通信
通常单服务使用用户session或自定义令牌,流程如下:
1.请求服务A时,服务系统校验是否登录(是否有TOKEN)。
2.若不存在,则重定向SSO系统。
3.重定向登录,进行登录
4.认证登录信息
5.SSO系统重新请求服务(请求登录时的服务),带有认证成功TOKEN信息,服务系统保存APP请求的TOKEN令牌,并设置失效时间
6.服务系统返回结果,带APP认证的TOKEN令牌
7.APP再次请求服务时,需带着TOKEN令牌
8.服务直接认为已经认证通过,需要校验登录信息。直接返回服务结果
上面讲到分布式环境下,多个服务系统共享session即可实现单点登录。
解决方案
把session数据存放在Redis中,统一管理,并对redis设置过期时间,对应session失效时间。
此方案可以解决共享session问题
缺点
只要用户拿到TOKEN令牌就可以访问服务,此时对于安全方面不友好。
解决单点登录造成的安全问题
每次APP请求接口服务时,需要把请求参数进行加密传输。需在开发过程中APP与服务端协商采用哪种加密方式。
常用的加密方式如下:
base64编解码
base64其实不是安全领域下的加密解密算法。虽然有时候经常看到所谓的base64加密解密。其实base64只能算是一个编码算法,对数据内容进行编码来适合传输。虽然base64编码过后原文也变成不能看到的字符格式,但是这种方式很初级,很简单。
base64的实现
Base64编码方法要求把每三个8Bit的字节转换为四个6Bit的字节,其中,转换之后的这四个字节中每6个有效bit为是有效数据,空余的那两个 bit用0补上成为一个字节。因此Base64所造成数据冗余不是很严重,Base64是当今比较流行的编码方法,因为它编起来速度快而且简单
base64的优点
1.支持广泛,平台和语言支持都比较广泛,浏览器绝大多数都支持,直接可在前端编解码,很多加密算法的都有base64的应用。
2.在小图片base64后,可以减少请求,在某些场景下用途很大。
3.有些情况下传输不可见字符不方便,base64后都是可见字符。
4.能直接把二进制文件变成字符传输。
base64的缺点
1.他的编码方式注定会有三分之一的冗余
md5方式加密
MD5主要特点是
不可逆,相同数据的MD5值肯定一样,不同数据的MD5值不一样(也不是绝对的,但基本是不能一样的)。
MD5算法还具有以下性质:
1、压缩性:任意长度的数据,算出的MD5值长度都是固定的。
2、容易计算:从原数据计算出MD5值很容易。
3、抗修改性:对原数据进行任何改动,哪怕只修改1个字节,所得到的MD5值都有很大区别。
4、弱抗碰撞:已知原数据和其MD5值,想找到一个具有相同MD5值的数据(即伪造数据)是非常困难的。
5、强抗碰撞:想找到两个不同的数据,使它们具有相同的MD5值,是非常困难的。
MD5虽然说是不可逆的
混合加密
先采用base64编码,再进行md5加密
---------------------------
欢迎关注微信公众号“零售云技术”,文章持续更新