单点登录实现原理

单点登录（Single Sign-On，SSO）是一种用户认证方式，用户在多个应用系统中只需要登录一次，就可以访问所有相互信任的应用系统。SSO 的实现原理涉及身份认证、令牌管理、会话管理等多个方面，下面将详细介绍其实现原理和常用的实现方式。

SSO 实现原理

SSO 的核心思想是通过一个统一的认证系统来管理用户的登录状态，各个应用系统通过信任该认证系统来实现用户的单点登录。常见的实现原理如下：

用户请求登录：
- 用户访问应用系统 A，需要进行身份认证。
- 应用系统 A 将用户重定向到 SSO 认证中心。
认证中心认证：
- 用户在 SSO 认证中心进行身份认证，如输入用户名和密码。
- SSO 认证中心验证用户身份，通过后生成一个唯一的认证凭证（如 Token）。
回调应用系统：
- SSO 认证中心将认证凭证通过 URL 回调参数的方式传递给应用系统 A。
- 应用系统 A 接收到认证凭证后，向 SSO 认证中心验证凭证的合法性。
建立会话：
- 验证通过后，应用系统 A 为用户建立会话（如生成 Session）。
- 应用系统 A 在用户浏览器中设置一个会话 Cookie，标识用户已登录。
访问其他系统：
- 当用户访问应用系统 B 时，应用系统 B 检查用户是否已登录。
- 如果用户未登录，应用系统 B 将用户重定向到 SSO 认证中心。
- SSO 认证中心检测到用户已登录，直接返回认证凭证给应用系统 B。
- 应用系统 B 验证凭证，通过后为用户建立会话。

常用的实现方式

1. 基于 Cookie 的 SSO

原理：在 SSO 认证中心认证成功后，设置一个跨域的 Cookie，标识用户已登录。各应用系统通过读取该 Cookie 来判断用户是否已登录。
实现难点：跨域 Cookie 的设置和读取，需要通过反向代理等方式解决跨域问题。

2. 基于 Token 的 SSO

原理：在 SSO 认证中心认证成功后，生成一个 Token 并返回给应用系统。各应用系统通过 Token 向 SSO 认证中心验证用户身份。
优点：不依赖浏览器的 Cookie，适用于跨域和分布式系统。

3. 基于 OAuth2 的 SSO

原理：OAuth2 是一种授权协议，用于第三方应用系统访问资源所有者的资源。SSO 可以基于 OAuth2 实现，用户在认证中心完成认证后，认证中心颁发访问令牌（Access Token），各应用系统通过令牌调用认证中心的 API 验证用户身份。
优点：标准化协议，支持多种认证方式和授权模式。

示例代码

以下是基于 Spring Security 和 OAuth2 实现 SSO 的示例代码：

SSO 认证中心

配置类：

java复制代码

@Configuration @EnableAuthorizationServer public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter { @Autowired private AuthenticationManager authenticationManager; @Override public void configure(AuthorizationServerEndpointsConfigurer endpoints) { endpoints.authenticationManager(authenticationManager); } @Override public void configure(ClientDetailsServiceConfigurer clients) throws Exception { clients.inMemory() .withClient("client-id") .secret("client-secret") .authorizedGrantTypes("authorization_code", "refresh_token", "password") .scopes("all"); } }

应用系统

配置类：

java复制代码

@Configuration @EnableResourceServer public class ResourceServerConfig extends ResourceServerConfigurerAdapter { @Override public void configure(HttpSecurity http) throws Exception { http.authorizeRequests() .antMatchers("/public/**").permitAll() .anyRequest().authenticated(); } }

应用系统通过 Token 调用认证中心的 API 验证用户身份：

java复制代码

@RestController public class UserController { @GetMapping("/user") public Principal user(Principal principal) { return principal; } }

请求流程

用户访问应用系统：
- 用户访问应用系统的受保护资源，应用系统重定向到 SSO 认证中心。
用户认证：
- 用户在 SSO 认证中心进行身份认证，认证成功后，SSO 认证中心生成授权码（Authorization Code），并重定向回应用系统。
应用系统获取令牌：
- 应用系统使用授权码向 SSO 认证中心请求访问令牌（Access Token）。
- SSO 认证中心验证授权码，生成访问令牌，并返回给应用系统。
应用系统验证用户身份：
- 应用系统使用访问令牌请求用户信息接口，获取用户身份信息，完成用户登录。