单点登录（SSO）的具体实现
一、单点登录概述
单点登录（Single Sign - On，SSO）是一种身份验证机制，它允许用户使用一组凭据（如用户名和密码）登录到多个相关但独立的应用程序或系统中，这种机制提高了用户体验，减少了用户需要记住多个账号密码的麻烦，同时也增强了安全性和管理的便利性。
图片来源于网络，如有侵权联系删除
二、单点登录的实现技术基础
1、Cookie
- Cookie是一种在客户端存储数据的小文件，在单点登录场景中，认证服务器可以在用户成功登录后，在用户浏览器端设置一个Cookie，这个Cookie包含了用户的身份标识等关键信息，当用户登录到一个主应用程序时，认证服务器设置一个名为“SSO - Token”的Cookie，其中可能包含经过加密的用户ID、登录时间戳等信息。
- 后续当用户访问其他关联的子应用程序时，子应用程序可以读取这个Cookie来识别用户身份，不过，Cookie存在安全性风险，如跨站脚本攻击（XSS）可能会窃取Cookie中的信息，因此在使用Cookie进行SSO时，需要对Cookie进行加密、设置合适的域和路径属性等安全措施。
2、Session
- 服务器端的Session也是实现单点登录的重要组成部分，当用户在认证服务器登录成功后，认证服务器会创建一个Session来保存用户的登录状态和相关信息，这个Session可以与Cookie中的标识相关联，Cookie中的“SSO - Token”可以对应到服务器端的一个特定Session，该Session中存储着用户的详细信息，如用户角色、权限等。
- 子应用程序可以通过与认证服务器交互，验证Cookie中的标识对应的Session是否有效，从而确定用户是否已经登录。
3、加密技术
- 在单点登录过程中，加密技术用于保护用户信息的传输和存储安全，在用户登录时，密码通常会使用哈希算法（如SHA - 256）进行加密后传输到认证服务器，对于存储在Cookie或Session中的用户身份标识等敏感信息，也可以使用对称加密算法（如AES）或非对称加密算法（如RSA）进行加密。
- 非对称加密可以用于在认证服务器和子应用程序之间安全地共享密钥等信息，认证服务器使用私钥对一个共享密钥进行签名，子应用程序使用认证服务器的公钥来验证签名并获取共享密钥，然后使用共享密钥对后续的通信进行加密和解密。
三、单点登录的具体实现流程
1、用户登录
- 用户访问主应用程序，点击登录按钮，主应用程序将用户重定向到认证服务器的登录页面，这个重定向过程中，可能会携带一些应用程序相关的标识信息，如应用ID，以便认证服务器识别是哪个应用发起的登录请求。
- 在认证服务器的登录页面，用户输入用户名和密码，认证服务器首先对用户输入的密码进行验证，如果使用数据库存储用户信息，认证服务器会查询数据库，比较输入的密码哈希值与存储的密码哈希值是否一致。
图片来源于网络，如有侵权联系删除
- 如果验证成功，认证服务器创建一个Session，并在用户浏览器端设置一个Cookie（假设采用Cookie - Session方式实现SSO），这个Cookie的域可以设置为一个顶级域名（如.example.com），以便子应用程序在同一顶级域名下可以访问该Cookie。
2、验证与授权
- 当用户尝试访问子应用程序时，子应用程序首先检查用户浏览器中的Cookie，如果发现存在有效的SSO - Cookie，子应用程序会向认证服务器发送一个验证请求，通常是通过一个安全的API（如基于HTTPS的RESTful API）。
- 认证服务器收到验证请求后，根据Cookie中的标识查找对应的Session，如果Session存在且未过期，认证服务器会返回用户的相关信息（如用户ID、角色等）给子应用程序，子应用程序根据这些信息确定用户是否有权限访问其资源。
- 如果Cookie不存在或者验证失败（如对应的Session已过期或被撤销），子应用程序会将用户重定向到认证服务器的登录页面，让用户重新登录。
3、注销登录
- 当用户在任何一个应用程序中点击注销登录按钮时，情况会稍微复杂一些，如果是在主应用程序中注销，主应用程序会向认证服务器发送注销请求，认证服务器收到请求后，会销毁与该用户对应的Session，并清除用户浏览器中的Cookie（可以通过设置Cookie的过期时间为过去的时间来实现）。
- 如果是在子应用程序中注销，子应用程序也需要向认证服务器发送注销请求，认证服务器同样会销毁Session，但在清除用户浏览器中的Cookie时，可能需要考虑到其他子应用程序的情况，一种解决方案是，认证服务器可以通知其他子应用程序该用户已经注销，子应用程序可以在本地进行一些清理操作，如清除本地缓存的用户相关信息。
四、单点登录的跨域实现
1、JSONP（JSON with Padding）
- 在单点登录需要跨域的情况下，JSONP是一种常用的技术，当子应用程序与认证服务器处于不同的域时，由于浏览器的同源策略限制，子应用程序不能直接向认证服务器发送AJAX请求进行验证等操作。
- JSONP利用了<script>标签不受同源策略限制的特点，子应用程序可以动态创建一个<script>标签，其src属性指向认证服务器的一个特定URL，并在URL中带上回调函数名等参数，认证服务器根据请求返回一个JavaScript函数调用，其中包含了用户验证等相关信息，子应用程序定义的回调函数可以接收这些信息并进行处理。
- JSONP存在安全风险，因为它依赖于信任认证服务器返回的JavaScript代码，恶意的认证服务器可能会注入恶意脚本。
2、CORS（Cross - Origin Resource Sharing）
图片来源于网络，如有侵权联系删除
- CORS是一种更现代、更安全的跨域解决方案，在认证服务器和子应用程序的配置中，通过设置正确的CORS头信息，可以允许合法的跨域请求。
- 认证服务器可以在响应头中设置Access - Control - Allow - Origin等头信息，指定哪些域可以访问其资源，子应用程序在向认证服务器发送请求时，浏览器会检查认证服务器的响应头，如果符合CORS规则，就允许子应用程序接收并处理响应数据。
五、单点登录系统的安全性考虑
1、防范攻击
- 除了前面提到的防范Cookie窃取的措施外，单点登录系统还需要防范重放攻击，重放攻击是指攻击者截获并重复使用合法用户的登录请求或验证请求，为了防止重放攻击，可以在请求中加入时间戳、随机数等信息，并在认证服务器端进行验证。
- 每个验证请求中包含一个唯一的随机数（nonce）和一个时间戳，认证服务器收到请求后，首先检查时间戳是否在一个合理的范围内（如当前时间的前后几分钟内），然后检查随机数是否已经被使用过，如果时间戳无效或者随机数已经被使用过，认证服务器拒绝该请求。
2、权限管理
- 在单点登录系统中，权限管理至关重要，虽然用户通过单点登录可以方便地访问多个应用程序，但每个应用程序内部的资源访问权限应该是严格控制的。
- 认证服务器在返回用户信息给子应用程序时，可以包含用户的角色信息，子应用程序根据自身的权限规则，确定用户对不同资源的访问权限，一个用户在企业内部的单点登录系统中，虽然可以登录到多个部门的应用程序，但在财务应用程序中，只有具有财务角色的用户才能访问财务报表等敏感资源。
3、多因素认证
- 为了增强单点登录系统的安全性，可以采用多因素认证（MFA），除了传统的用户名和密码外，还可以增加其他认证因素，如短信验证码、指纹识别、面部识别等。
- 在用户登录认证服务器时，在输入用户名和密码后，认证服务器可以向用户的手机发送短信验证码，用户需要输入正确的验证码才能完成登录，或者，如果设备支持生物识别技术，如指纹识别或面部识别，用户可以使用这些生物识别特征作为额外的认证因素，进一步提高登录的安全性。
单点登录的实现需要综合考虑多种技术和安全因素，通过合理的架构设计和安全措施，为用户提供便捷且安全的多应用登录体验。
评论列表