.net core實踐系列之SSO-跨域實現 .net core實踐系列之SSO-同域實現 .net core實踐系列之SSO-同域實現

時間 2019-12-10

標籤 core 實踐系列 sso 實現欄目軟件設計简体版

原文原文鏈接

前言

接着上篇的《.net core實踐系列之SSO-同域實現》，此次來聊聊SSO跨域的實現方式。此次雖然說是.net core實踐，可是核心點使用jquery居多。html

建議看這篇文章的朋友能夠先看上篇《.net core實踐系列之SSO-同域實現》作一個SSO大概瞭解。jquery

源碼地址：https://github.com/SkyChenSky/Core.SSO.gitgit

效果圖

知識點回顧

實現原則

只要統一Token的產生和校驗方式，不管受權與認證的在哪（認證系統或業務系統），也不管用戶信息存儲在哪（瀏覽器、服務器），其實均可以實現單點登陸的效果github

實現關鍵點

Token的生成
Token的共享
Token校驗

Token共享複雜度

同域
跨域

Token認證方式

業務系統自認證
轉發給認證中心認證

同源策略

全部支持JavaScript 的瀏覽器，都必須遵照的安全策略，也是瀏覽器最基本的安全功能。web

若是沒有處理過發起跨域請求，就算服務器接收到了，響應成功了瀏覽器也是會攔截的。ajax

同源

指域名，協議，端口相同api

目的

瀏覽器爲了阻止惡意腳本獲取不一樣源上的的敏感信息。跨域

跨域請求

然而在實際狀況下跨域請求的場景也是存在的，解決方案有兩種：瀏覽器

JSONP
響應頭設置「Access-Control-Allow-Origin」

Cookie

Cookie的讀取和發送也是必須遵循同源策略的。安全

雖然說請求共享能夠設置響應頭Access-Control-Allow-Credentials、Access-Control-Allow-Origin與Ajax請求屬性xhrFields: {withCredentials: true}進行解決，可是！

就算響應頭有set-cookie瀏覽器也是沒法正常保存的。

SSO跨域解決方式

針對cookie認證，我惟一能找到的解決方案就是跳轉頁面。

具體步驟：

認證中心登陸成功後，請求登陸中心接口得到token
攜帶token逐個跳轉到業務系統的中轉頁面。
跳轉完成後，返回到認證中心登陸頁面進行引導。

PS：若是哪位朋友有更加好的方案，能夠及時與我溝通，很是感謝

實現方式

登陸中心受權

<script>
    $(function () {
        $("#submit").click(function () {
            $("#postForm").ajaxSubmit(function (result) {
                if (result.success) {
                    var token = getToken();
                    if (token) {
                        var authorizeHostArray = new Array(
                            "http://www.web1.com/Token/Authorization",
                            "http://www.web2.com/Token/Authorization"
                        );
                        var authorizeHostParams = "";
                        authorizeHostArray.forEach(function (item) {
                            authorizeHostParams += "&hostAuthorization=" + item;
                        });
                        window.location.href = authorizeHostArray[0] + "?token=" + token + authorizeHostParams;
                    }
                } else {
                    alert(result.msg);
                }
            });
        });

        function getToken() {
            var token = null;
            $.ajax({
                url: "/api/Token",
                type: "GET",
                async: false,
                success: function (d) {
                    token = d.token;
                }
            });
            return token;
        }
    });
</script>

業務系統Token保存與註銷

public class TokenController : Controller
    {
        public static TokenCookieOptions CookieOptions { get; set; }

        public IActionResult Authorization(string token, List<string> hostAuthorization = null)
        {
            if (CookieOptions == null || string.IsNullOrEmpty(token))
                return BadRequest();

            HttpContext.Response.Cookies.Append(CookieOptions.Name, token, new CookieOptions
            {
                Domain = CookieOptions.Domain,
                Expires = DateTimeOffset.UtcNow.Add(CookieOptions.Expires),
                HttpOnly = CookieOptions.HttpOnly,
                IsEssential = CookieOptions.IsEssential,
                MaxAge = CookieOptions.MaxAge,
                Path = CookieOptions.Path,
                SameSite = CookieOptions.SameSite
            });

            if (hostAuthorization.Any())
                hostAuthorization = hostAuthorization.Where(a => !a.Contains(HttpContext.Request.Host.Host)).ToList();

            if (!hostAuthorization.Any())
                hostAuthorization = new List<string> { "http://www.sso.com" };

            return View(new TokenViewData
            {
                Token = token,
                HostAuthorization = hostAuthorization
            });
        }

        public IActionResult Logout(List<string> hostAuthorization = null)
        {
            HttpContext.Response.Cookies.Delete(CookieOptions.Name);

            if (hostAuthorization.Any())
                hostAuthorization = hostAuthorization.Where(a => !a.Contains(HttpContext.Request.Host.Host)).ToList();

            if (!hostAuthorization.Any())
                hostAuthorization = new List<string> { "http://www.sso.com" };

            return View(new TokenViewData
            {
                HostAuthorization = hostAuthorization
            });
        }
    }

Token生成與認證

與同域的實現的方式一致。

生成與認證是一對的，與之對應的就是AES的加密與解密。

public void ConfigureServices(IServiceCollection services)
        {
            services.AddMvc();
            services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
                .AddCookie(options =>
               {
                   options.Cookie.Name = "Token";
                   options.Cookie.HttpOnly = true;
                   options.ExpireTimeSpan = TimeSpan.FromMinutes(30);
                   options.LoginPath = "/Account/Login";
                   options.LogoutPath = "/Account/Logout";
                   options.SlidingExpiration = true;
                   //options.DataProtectionProvider = DataProtectionProvider.Create(new DirectoryInfo(@"D:\sso\key"));
                   options.TicketDataFormat = new TicketDataFormat(new AesDataProtector());
                   TokenController.CookieName = options.Cookie.Name;
               });
        }

internal class AesDataProtector : IDataProtector
    {
        private const string Key = "!@#13487";

        public IDataProtector CreateProtector(string purpose)
        {
            return this;
        }

        public byte[] Protect(byte[] plaintext)
        {
            return AESHelper.Encrypt(plaintext, Key);
        }

        public byte[] Unprotect(byte[] protectedData)
        {
            return AESHelper.Decrypt(protectedData, Key);
        }
    }