單點登陸SSO的實現原理

原文地址：http://blog.csdn.net/cutesource/article/details/5838693

 

單點登陸SSO（Single Sign On）說得簡單點就是在一個多系統共存的環境下，用戶在一處登陸後，就不用在其餘系統中登陸，也就是用戶的一次登陸能獲得其餘全部系統的信任。單點登陸在大型網站裏使用得很是頻繁，例如像阿里巴巴這樣的網站，在網站的背後是成百上千的子系統，用戶一次操做或交易可能涉及到幾十個子系統的協做，若是每一個子系統都須要用戶認證，不只用戶會瘋掉，各子系統也會爲這種重複認證受權的邏輯搞瘋掉。實現單點登陸說到底就是要解決如何產生和存儲那個信任，再就是其餘系統如何驗證這個信任的有效性，所以要點也就如下幾個：

• 存儲信任
• 驗證信任

只要解決了以上的問題，達到了開頭講得效果就能夠說是SSO。最簡單實現SSO的方法就是用Cookie，實現流程以下所示：

否則發現以上的方案是把信任存儲在客戶端的Cookie裏，這種方法雖然實現方便但立馬會讓人質疑兩個問題：

• Cookie不安全
• 不能跨域免登

對於第一個問題通常都是經過加密Cookie來處理，第二個問題是硬傷。其實這種方案的思路的就是要把這個信任關係存儲在客戶端，要實現這個也不必定只能用Cookie，用flash也能解決，flash的Shared Object API就提供了存儲能力。

 

通常說來，大型系統會採起在服務端存儲信任關係的作法，實現流程以下所示：

以上方案就是要把信任關係存儲在單獨的SSO系統（暫且這麼稱呼它）裏，提及來只是簡單地從客戶端移到了服務端，但其中幾個問題須要重點解決：

• 如何高效存儲大量臨時性的信任數據
• 如何防止信息傳遞過程被篡改
• 如何讓SSO系統信任登陸系統和免登系統

對於第一個問題，通常能夠採用相似與memcached的分佈式緩存的方案，既能提供可擴展數據量的機制，也能提供高效訪問。對於第二個問題，通常採起數字簽名的方法，要麼經過數字證書籤名，要麼經過像md5的方式，這就須要SSO系統返回免登URL的時候對需驗證的參數進行md5加密，並帶上token一塊兒返回，最後需免登的系統進行驗證信任關係的時候，需把這個token傳給SSO系統，SSO系統經過對token的驗證就能夠辨別信息是否被改過。對於最後一個問題，能夠經過白名單來處理，說簡單點只有在白名單上的系統才能請求生產信任關係，同理只有在白名單上的系統才能被免登陸。

以上只是提供了些簡單的實現技術，但須要強調的是這只是技術實現而已，僅僅是爲了解決上面談到的一些問題，SSO自己來講並非什麼高科技，有了這個認識比較有利於咱們深刻探索SSO