搜索

[21805] 2021-03-24_单点登录的三种实现方式

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-03-24_单点登录的三种实现方式 单 点 登 录 的 三 种 实 现 方 式 L e m o n S e c   2 0 2 1 - 0 3 - 2 4 作 者 ： 张 永 恒 作 者 ： 张 永 恒 链 接 ： 链 接 ： h t t p s : / / w w w . c n b l o g s . c o m / y o n g h e n g z h / p / 1 3 7 1 2 7 2 9 . h t m l 前 言 实 现 方 式 一 ： 父 域   C o o k i e 实 现 方 式 二 ： 认 证 中 心 实 现 方 式 三 ： L o c a l S t o r a g e   跨 域 补 充 ： 域 名 分 级 前 言 前 言 在   B / S   系 统 中 ， 登 录 功 能 通 常 都 是 基 于   C o o k i e   来 实 现 的 。 当 用 户 登 录 成 功 后 ， 一 般 会 将 登 录 状 态 记 录 到 S e s s i o n   中 ， 或 者 是 给 用 户 签 发 一 个   T o k e n ， 无 论 哪 一 种 方 式 ， 都 需 要 在 客 户 端 保 存 一 些 信 息 （ S e s s i o n   I D   或 T o k e n   ） ， 并 要 求 客 户 端 在 之 后 的 每 次 请 求 中 携 带 它 们 。 在 这 样 的 场 景 下 ， 使 用   C o o k i e   无 疑 是 最 方 便 的 ， 因 此 我 们 一 般 都 会 将   S e s s i o n   的   I D   或   T o k e n   保 存 到 C o o k i e   中 ， 当 服 务 端 收 到 请 求 后 ， 通 过 验 证   C o o k i e   中 的 信 息 来 判 断 用 户 是 否 登 录   。 单 点 登 录 （ S i n g l e   S i g n   O n ,   S S O ） 是 指 在 同 一 帐 号 平 台 下 的 多 个 应 用 系 统 中 ， 用 户 只 需 登 录 一 次 ， 即 可 访 问 所 有 相 互 信 任 的 应 用 系 统 。 举 例 来 说 ， 百 度 贴 吧 和 百 度 地 图 是 百 度 公 司 旗 下 的 两 个 不 同 的 应 用 系 统 ， 如 果 用 户 在 百 度 贴 吧 登 录 过 之 后 ， 当 他 访 问 百 度 地 图 时 无 需 再 次 登 录 ， 那 么 就 说 明 百 度 贴 吧 和 百 度 地 图 之 间 实 现 了 单 点 登 录 。 单 点 登 录 的 本 质 就 是 在 多 个 应 用 系 统 中 共 享 登 录 状 态 。 如 果 用 户 的 登 录 状 态 是 记 录 在   S e s s i o n   中 的 ， 要 实 现 共 享 登 录 状 态 ， 就 要 先 共 享   S e s s i o n ， 比 如 可 以 将   S e s s i o n   序 列 化 到   R e d i s   中 ， 让 多 个 应 用 系 统 共 享 同 一 个 R e d i s ， 直 接 读 取   R e d i s   来 获 取   S e s s i o n 。 当 然 仅 此 是 不 够 的 ， 因 为 不 同 的 应 用 系 统 有 着 不 同 的 域 名 ， 尽 管   S e s s i o n   共 享 了 ， 但 是 由 于   S e s s i o n   I D   是 往 往 保 存 在 浏 览 器   C o o k i e   中 的 ， 因 此 存 在 作 用 域 的 限 制 ， 无 法 跨 域 名 传 递 ， 也 就 是 说 当 用 户 在   a p p 1 . c o m   中 登 录 后 ， S e s s i o n   I D   仅 在 浏 览 器 访 问   a p p 1 . c o m   时 才 会 自 动 在 请 求 头 中 携 带 ， 而 当 浏 览 器 访 问   a p p 2 . c o m
时 ， S e s s i o n   I D   是 不 会 被 带 过 去 的 。 实 现 单 点 登 录 的 关 键 在 于 ， 如 何 让   S e s s i o n   I D （ 或   T o k e n ） 在 多 个 域 中 共 享 。 实 现 方 式 一 ： 父 域 实 现 方 式 一 ： 父 域   C o o k i e 在 将 具 体 实 现 之 前 ， 我 们 先 来 聊 一 聊   C o o k i e   的 作 用 域 。 C o o k i e   的 作 用 域 由   d o m a i n   属 性 和   p a t h   属 性 共 同 决 定 。 d o m a i n   属 性 的 有 效 值 为 当 前 域 或 其 父 域 的 域 名 / I P 地 址 ， 在   T o m c a t   中 ， d o m a i n   属 性 默 认 为 当 前 域 的 域 名 / I P 地 址 。 p a t h   属 性 的 有 效 值 是 以 “ / ” 开 头 的 路 径 ， 在 T o m c a t   中 ， p a t h   属 性 默 认 为 当 前   W e b   应 用 的 上 下 文 路 径 。 如 果 将   C o o k i e   的   d o m a i n   属 性 设 置 为 当 前 域 的 父 域 ， 那 么 就 认 为 它 是 父 域   C o o k i e 。 C o o k i e   有 一 个 特 点 ， 即 父 域 中 的   C o o k i e   被 子 域 所 共 享 ， 换 言 之 ， 子 域 会 自 动 继 承 父 域 中 的 C o o k i e 。 利 用   C o o k i e   的 这 个 特 点 ， 不 难 想 到 ， 将   S e s s i o n   I D （ 或   T o k e n ） 保 存 到 父 域 中 不 就 行 了 。 没 错 ， 我 们 只 需 要 将   C o o k i e   的   d o m a i n   属 性 设 置 为 父 域 的 域 名 （ 主 域 名 ） ， 同 时 将   C o o k i e   的   p a t h   属 性 设 置 为 根 路 径 ， 这 样 所 有 的 子 域 应 用 就 都 可 以 访 问 到 这 个   C o o k i e   了 。 不 过 这 要 求 应 用 系 统 的 域 名 需 建 立 在 一 个 共 同 的 主 域 名 之 下 ， 如   t i e b a . b a i d u . c o m   和   m a p . b a i d u . c o m ， 它 们 都 建 立 在   b a i d u . c o m   这 个 主 域 名 之 下 ， 那 么 它 们 就 可 以 通 过 这 种 方 式 来 实 现 单 点 登 录 。 总 结 ： 此 种 实 现 方 式 比 较 简 单 ， 但 不 支 持 跨 主 域 名 。 实 现 方 式 二 ： 认 证 中 心 实 现 方 式 二 ： 认 证 中 心 我 们 可 以 部 署 一 个 认 证 中 心 ， 认 证 中 心 就 是 一 个 专 门 负 责 处 理 登 录 请 求 的 独 立 的   W e b   服 务 。 用 户 统 一 在 认 证 中 心 进 行 登 录 ， 登 录 成 功 后 ， 认 证 中 心 记 录 用 户 的 登 录 状 态 ， 并 将   T o k e n   写 入   C o o k i e 。 （ 注 意 这 个   C o o k i e   是 认 证 中 心 的 ， 应 用 系 统 是 访 问 不 到 的 。 ） 应 用 系 统 检 查 当 前 请 求 有 没 有   T o k e n ， 如 果 没 有 ， 说 明 用 户 在 当 前 系 统 中 尚 未 登 录 ， 那 么 就 将 页 面 跳 转 至 认 证 中 心 。 由 于 这 个 操 作 会 将 认 证 中 心 的   C o o k i e   自 动 带 过 去 ， 因 此 ， 认 证 中 心 能 够 根 据   C o o k i e   知 道 用 户 是 否 已 经 登 录 过 了 。 如 果 认 证 中 心 发 现 用 户 尚 未 登 录 ， 则 返 回 登 录 页 面 ， 等 待 用 户 登 录 ， 如 果 发 现 用 户 已 经 登 录 过 了 ， 就 不 会 让 用 户 再 次 登 录 了 ， 而 是 会 跳 转 回 目 标   U R L   ， 并 在 跳 转 前 生 成 一 个   T o k e n ， 拼 接 在 目 标   U R L   的 后 面 ， 回 传 给 目 标 应 用 系 统 。
应 用 系 统 拿 到   T o k e n   之 后 ， 还 需 要 向 认 证 中 心 确 认 下   T o k e n   的 合 法 性 ， 防 止 用 户 伪 造 。 确 认 无 误 后 ， 应 用 系 统 记 录 用 户 的 登 录 状 态 ， 并 将   T o k e n   写 入   C o o k i e ， 然 后 给 本 次 访 问 放 行 。 （ 注 意 这 个   C o o k i e   是 当 前 应 用 系 统 的 ， 其 他 应 用 系 统 是 访 问 不 到 的 。 ） 当 用 户 再 次 访 问 当 前 应 用 系 统 时 ， 就 会 自 动 带 上 这 个   T o k e n ， 应 用 系 统 验 证   T o k e n   发 现 用 户 已 登 录 ， 于 是 就 不 会 有 认 证 中 心 什 么 事 了 。 这 里 顺 便 介 绍 两 款 认 证 中 心 的 开 源 实 现 ： A p e r e o   C A S   是 一 个 企 业 级 单 点 登 录 系 统 ， 其 中   C A S   的 意 思 是 ” C e n t r a l   A u t h e n t i c a t i o n   S e r v i c e “ 。 它 最 初 是 耶 鲁 大 学 实 验 室 的 项 目 ， 后 来 转 让 给 了   J A S I G   组 织 ， 项 目 更 名 为   J A S I G   C A S ， 后 来 该 组 织 并 入 了 A p e r e o   基 金 会 ， 项 目 也 随 之 更 名 为   A p e r e o   C A S 。 X X L - S S O   是 一 个 简 易 的 单 点 登 录 系 统 ， 由 大 众 点 评 工 程 师 许 雪 里 个 人 开 发 ， 代 码 比 较 简 单 ， 没 有 做 安 全 控 制 ， 因 而 不 推 荐 直 接 应 用 在 项 目 中 ， 这 里 列 出 来 仅 供 参 考 。 总 结 ： 此 种 实 现 方 式 相 对 复 杂 ， 支 持 跨 域 ， 扩 展 性 好 ， 是 单 点 登 录 的 标 准 做 法 。 实 现 方 式 三 ： 实 现 方 式 三 ： L o c a l S t o r a g e   跨 域 跨 域 前 面 ， 我 们 说 实 现 单 点 登 录 的 关 键 在 于 ， 如 何 让   S e s s i o n   I D （ 或   T o k e n ） 在 多 个 域 中 共 享 。 父 域   C o o k i e   确 实 是 一 种 不 错 的 解 决 方 案 ， 但 是 不 支 持 跨 域 。 那 么 有 没 有 什 么 奇 淫 技 巧 能 够 让   C o o k i e   跨 域 传 递 呢 ？ 很 遗 憾 ， 浏 览 器 对   C o o k i e   的 跨 域 限 制 越 来 越 严 格 。 C h r o m e   浏 览 器 还 给   C o o k i e   新 增 了 一 个   S a m e S i t e   属 性 ， 此 举 几 乎 禁 止 了 一 切 跨 域 请 求 的   C o o k i e   传 递 （ 超 链 接 除 外 ） ， 并 且 只 有 当 使 用   H T T P s   协 议 时 ， 才 有 可 能 被 允 许 在   A J A X   跨 域 请 求 中 接 受 服 务 器 传 来 的   C o o k i e 。 不 过 ， 在 前 后 端 分 离 的 情 况 下 ， 完 全 可 以 不 使 用   C o o k i e ， 我 们 可 以 选 择 将   S e s s i o n   I D   （ 或   T o k e n   ） 保 存 到 浏 览 器 的   L o c a l S t o r a g e   中 ， 让 前 端 在 每 次 向 后 端 发 送 请 求 时 ， 主 动 将   L o c a l S t o r a g e   的 数 据 传 递 给 服 务 端 。 这 些 都 是 由 前 端 来 控 制 的 ， 后 端 需 要 做 的 仅 仅 是 在 用 户 登 录 成 功 后 ， 将   S e s s i o n   I D   （ 或   T o k e n   ） 放 在 响 应 体 中 传 递 给 前 端 。 在 这 样 的 场 景 下 ， 单 点 登 录 完 全 可 以 在 前 端 实 现 。 前 端 拿 到   S e s s i o n   I D   （ 或   T o k e n   ） 后 ， 除 了 将 它 写 入 自 己 的   L o c a l S t o r a g e   中 之 外 ， 还 可 以 通 过 特 殊 手 段 将 它 写 入 多 个 其 他 域 下 的   L o c a l S t o r a g e   中 。 关 键 代 码 如 下 ：
前 端 通 过   i f r a m e + p o s t M e s s a g e ( )   方 式 ， 将 同 一 份   T o k e n   写 入 到 了 多 个 域 下 的   L o c a l S t o r a g e   中 ， 前 端 每 次 在 向 后 端 发 送 请 求 之 前 ， 都 会 主 动 从   L o c a l S t o r a g e   中 读 取   T o k e n   并 在 请 求 中 携 带 ， 这 样 就 实 现 了 同 一 份   T o k e n 被 多 个 域 所 共 享 。 总 结 ： 此 种 实 现 方 式 完 全 由 前 端 控 制 ， 几 乎 不 需 要 后 端 参 与 ， 同 样 支 持 跨 域 。 补 充 ： 域 名 分 级 补 充 ： 域 名 分 级 从 专 业 的 角 度 来 说 （ 根 据 《 计 算 机 网 络 》 中 的 定 义 ） ， . c o m 、 . c n   为 一 级 域 名 （ 也 称 顶 级 域 名 ） ， . c o m . c n 、 b a i d u . c o m   为 二 级 域 名 ， s i n a . c o m . c n 、 t i e b a . b a i d u . c o m   为 三 级 域 名 ， 以 此 类 推 ， N   级 域 名 就 是   N - 1   级 域 名 的 直 接 子 域 名 。 从 使 用 者 的 角 度 来 说 ， 一 般 把 可 支 持 独 立 备 案 的 主 域 名 称 作 一 级 域 名 ， 如   b a i d u . c o m 、 s i n a . c o m . c n   皆 可 称 作 一 级 域 名 ， 在 主 域 名 下 建 立 的 直 接 子 域 名 称 作 二 级 域 名 ， 如   t i e b a . b a i d u . c o m   为 二 级 域 名 。 为 了 避 免 歧 义 ， 本 人 将 使 用 “ 主 域 名 “ 替 代 ” 一 级 域 名 “ 的 说 法 。 / /   获 取   t o k e n v a r   t o k e n   =   r e s u l t . d a t a . t o k e n ; / /   动 态 创 建 一 个 不 可 见 的 i f r a m e ， 在 i f r a m e 中 加 载 一 个 跨 域 H T M L v a r   i f r a m e   =   d o c u m e n t . c r e a t e E l e m e n t ( " i f r a m e " ) ; i f r a m e . s r c   =   " h t t p : / / a p p 1 . c o m / l o c a l s t o r a g e . h t m l " ; d o c u m e n t . b o d y . a p p e n d ( i f r a m e ) ; / /   使 用 p o s t M e s s a g e ( ) 方 法 将 t o k e n 传 递 给 i f r a m e s e t T i m e o u t ( f u n c t i o n   ( )   {         i f r a m e . c o n t e n t W i n d o w . p o s t M e s s a g e ( t o k e n ,   " h t t p : / / a p p 1 . c o m " ) ; } ,   4 0 0 0 ) ; s e t T i m e o u t ( f u n c t i o n   ( )   {         i f r a m e . r e m o v e ( ) ; } ,   6 0 0 0 ) ; / /   在 这 个 i f r a m e 所 加 载 的 H T M L 中 绑 定 一 个 事 件 监 听 器 ， 当 事 件 被 触 发 时 ， 把 接 收 到 的 t o k e n 数 据 写 入 l o c a l S t o r a g e w i n d o w . a d d E v e n t L i s t e n e r ( ' m e s s a g e ' ,   f u n c t i o n   ( e v e n t )   {         l o c a l S t o r a g e . s e t I t e m ( ' t o k e n ' ,   e v e n t . d a t a ) } ,   f a l s e ) ;
一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理