什么是单点登录？

单点登录的英文名叫做：Single Sign On（简称 SSO ）。

在 初学/以前 的时候，一般我们就 单系统 ，所有的功能都在同一个系统上。

后来，我们为了 合理利用资源和降低耦合性 ，于是把单系统 拆分 成多个子系统。

比如阿里系 的 淘宝和 天猫 ，很明显地我们可以知道这是两个系统，但是你在使用的时候，登录了天猫， 淘宝也会 自动登录。

简单来说，单点登录就是 在多个系统中，用户只需一次登录，各个系统即可感知该用户已经登录。

在我初学 JavaWeb 的时候，登录和注册是我做得最多的一个功能了（初学Servlet的时候做过、学 SpringMVC 的时候做过、跟着 做项目 的时候做过…），反正我也数不清我做了多少次登录和注册的功能了...这里简单讲述一下我们初学时是怎么做登录功能的。

众所周知，HTTP是无状态的协议，这意味着服务器无法确认用户的信息。于是乎，W3C就提出了：给每一个用户都发一个通行证，无论 谁访问 的时候都需要携带通行证，这样服务器就可以从通行证上确认用户的信息。通行证就是Cookie。

如果说Cookie是检查用户身上的 ” 通行证“来确认用户的身份，那么Session就是通过检查服务器上的”客户明细表“来确认用户的身份的。Session相当于在服务器中建立了一份“客户明细表”。

HTTP协议是无状态的，Session不能依据HTTP连接来判断是否为同一个用户。于是乎：服务器向用户浏览器发送了一个名为JESSIONID的Cookie，它的值是Session的id值。其实Session是依据Cookie来识别是否是同一个用户。

所以，一般我们单系统实现登录会这样做：

（1） 登录：将用户信息保存在Session对象中

如果在Session对象中能查到，说明已经登录

如果在Session对象中查不到，说明没登录（或者已经退出了登录）

（2）注销（退出登录）：从Session中删除用户的信息

（3）记住我（关闭掉浏览器后，重新打开浏览器还能保持登录状态）：配合Cookie来用

我之前Demo的代码，可以参考一下：

-

Java 代码

01

/**

02

* 用户登陆

03

*/

04

@ PostMapping (value = "/user/session", produces = {"application/ json;charset =UTF-8"})

05

public   Result login(String mobileNo , String password, String inputCaptcha , HttpSession session, HttpServletResponse response) {

06

07

//判断验证 码是否 正确

08

if   ( WebUtils.validateCaptcha ( inputCaptcha , " captcha ", session)) {

09

10

//判断有没有该用户

11

User user = userService.userLogin ( mobileNo , password);

12

if   (user != null) {

13

/*设置自动登陆，一个星期.  将token保存在数据库中*/

14

String loginToken = WebUtils.md5(new Date(). toString () + session.getId ());

15

user.setLoginToken ( loginToken );

16

User user1 = userService.userUpload (user);

17

18

session.setAttribute ("user", user1);

19

20

CookieUtil.addCookie(response,"loginToken",loginToken,604800);

21

22

return ResultUtil.success (user1);

23

24

} else {

25

return ResultUtil.error ( ResultEnum.LOGIN_ERROR );

26

}

27

} else {

28

return ResultUtil.error ( ResultEnum.CAPTCHA_ERROR );

29

}

30

31

}

32

33

/**

34

* 用户退出

35

*/

36

@ DeleteMapping (value = "/session", produces = {"application/ json;charset =UTF-8"})

37

public Result logout( HttpSession session,HttpServletRequest request,HttpServletResponse response ) {

38

39

//删除session和cookie

40

session.removeAttribute ("user");

41

42

CookieUtil.clearCookie (request, response, " loginToken ");

43

44

return ResultUtil.success ();

45

}

46

/**

47

* @author ozc

48

* @version 1.0

49

*

50

* -；实现自动登陆功能

51

*/

52

public   class   UserInterceptor  implements   HandlerInterceptor {

53

54

55

@ Autowired

56

private   UserService userService ;

57

58

public   boolean   preHandle ( HttpServletRequest request, HttpServletResponse response, Object o) throws   Exception {

59

User sessionUser = (User) request.getSession (). getAttribute ("user");

60

61

// 已经登陆了，放行

62

if   ( sessionUser != null) {

63

return   true;

64

} else   {

65

//得到带过来cookie是否存在

66

String loginToken = CookieUtil.findCookieByName (request, " loginToken ");

67

if   ( StringUtils.isNotBlank ( loginToken )) {

68

//到数据库查询有没有该Cookie

69

User user = userService.findUserByLoginToken ( loginToken );

70

if   (user != null) {

71

request.getSession (). setAttribute ("user", user);

72

return   true;

73

} else   {

74

//没有该Cookie与之对应的用户(Cookie不匹配)

75

CookieUtil.clearCookie (request, response, " loginToken ");

76

return   false;

77

}

78

} else   {

79

80

//没有cookie、也没有登陆。是index请求获取用户信息，可以放行

81

if   ( request.getRequestURI ().contains("session")) {

82

return   true;

83

}

84

85

//没有cookie凭证

86

response.sendRedirect ("/login.html");

87

return   false;

88

}

89

}

90

}

91

}

总结一下上面代码的思路：

• 用户登录时，验证用户的账户和密码

• 生成一个Token保存在数据库中，将Token写到Cookie中

• 将用户数据保存在Session中

• 请求时都会带上Cookie，检查有没有登录，如果已经登录则放行

Session 不 共享问题

单系统登录功能主要是用Session保存用户信息来实现的，但我们清楚的是：多系统即可能有多个Tomcat，而Session是依赖当前系统的Tomcat，所以系统A的Session和系统B的Session是 不 共享 的。

解决系统之间Session 不 共享问题有一下几种方案：

• Tomcat集群Session全局复制（集群内每个tomcat的session完全同步）【会影响集群的性能呢，不建议】

• 根据请求的IP进行 Hash映射 到对应的机器上（这就相当于请求的IP一直会访问同一个服务器）【如果服务器宕机了，会丢失了一大部分Session的数据，不建议】

• 把Session数据放在 Redis 中（使用 Redis 模拟Session）【 建议 】

我们可以将登录功能 单独抽取 出来，做成一个子系统。

SSO（登录系统）的逻辑如下：

-

Java 代码

01

// 登录功能(SSO单独的服务)

02

@Override

03

public   TaotaoResult login(String username, String password) throws   Exception {

04

05

//根据用户名查询用户信息

06

TbUserExample example = new   TbUserExample ();

07

Criteria criteria = example.createCriteria ();

08

criteria.andUsernameEqualTo (username);

09

List< TbUser > list = userMapper.selectByExample (example);

10

if   (null   == list || list.isEmpty ()) {

11

return   TaotaoResult.build (400, "用户不存在");

12

}

13

//核对密码

14

TbUser user = list.get (0);

15

if   (!DigestUtils.md5DigestAsHex(password.getBytes()).equals(user.getPassword())) {

16

return   TaotaoResult.build (400, "密码错误");

17

}

18

//登录成功，把用户信息写入 redis

19

//生成一个用户token

20

String token = UUID.randomUUID (). toString ();

21

jedisCluster.set (USER_TOKEN_KEY + ":"   + token, JsonUtils.objectToJson (user));

22

//设置session过期时间

23

jedisCluster.expire (USER_TOKEN_KEY + ":"   + token, SESSION_EXPIRE_TIME);

24

return   TaotaoResult.ok (token);

25

}

其他子系统登录时， 请求SSO（登录系统）进行登录，将返回的token写到Cookie中 ，下次访问时则把Cookie带上：

-

Java 代码

01

public   TaotaoResult login(String username, String password,

02

HttpServletRequest request, HttpServletResponse response) {

03

//请求参数

04

Map param = new   HashMap <>();

05

param.put ("username", username);

06

param.put ("password", password);

07

//登录处理

08

String stringResult = HttpClientUtil.doPost (REGISTER_USER_URL + USER_LOGIN_URL, param );

09

TaotaoResult result = TaotaoResult.format ( stringResult );

10

//登录出错

11

if   ( result.getStatus () != 200) {

12

return   result;

13

}

14

//登录成功后把取token信息，并写入cookie

15

String token = (String) result.getData ();

16

//写入cookie

17

CookieUtils.setCookie (request, response, "TT_TOKEN", token);

18

//返回成功

19

return   result;

20

21

}

总结：

• SSO系统生成一个token，并将用户信息存到 Redis 中，并设置过期时间

• 其他系统请求SSO系统进行登录，得到SSO返回的token，写到Cookie中

• 每次请求时，Cookie都会带上，-得到token，判断是否已经登录

到这里，其实我们会发现其实就两个变化：

• 将登陆功能抽取为一个系统（SSO），其他系统请求SSO进行登录

• 本来将用户信息存到Session，现在将用户信息存到 Redis

Cookie跨域的问题

上面我们解决了Session不能共享的问题，但其实还有另一个问题。 Cookie是不能跨域的

比如说，我们请求 时，浏览器会自动把 google.com 的Cookie带过去给 google 的服务器，而不会把 的Cookie带过去给 google 的服务器。

这就意味着， 由于域名不同 ，用户向系统A登录后，系统A返回给浏览器的Cookie，用户再请求系统B的时候不会将系统A的Cookie带过去。

针对Cookie存在跨域问题，有几种解决方案：

1. 服务端将Cookie写到客户端后，客户端对Cookie进行解析，将Token解析出来，此后请求都把这个Token带上就行了

2. 多个域名共享Cookie，在写到客户端的时候设置Cookie的domain。

3. 将Token保存在 SessionStroage 中（不依赖Cookie就没有跨域的问题了）

到这里，我们已经可以实现单点登录了。

CAS原理

说到单点登录，就肯定会见到这个名词：CAS （Central Authentication Service），下面说说CAS是怎么搞的。

如果已经将登录单独抽取成系统出来 ，我们还能这样玩。现在我们有两个系统，

分别是  www.java3y.com  和    www.java4y.com ，一个SSO    www.sso.com

首先，用户想要访问系统A www.java3y.com 受限的资源(比如说购物车功能，购物车功能需要登录后才能访问)，系统A www.java3y.com 发现用户并没有登录，于是 重定向到 sso 认证中心，并将自己的地址作为参数 。请求的地址如下：

• www.sso.com?service=www.java3y.com

sso 认证中心发现用户未登录，将用户引导至登录页面，用户进行输入用户名和密码进行登录，用户与认证中心建立 全局会话（生成一份Token，写到Cookie中，保存在浏览器上）

随后，认证中心 重定向 回系统 A ，并把Token携带过去给系统A，重定向的地址如下：

• www.java3y.com?token=xxxxxxx

接着，系统A去 sso 认证中心验证这个Token是否正确，如果正确，则系统A和用户建立局部会话（ 创建Session ）。到此，系统A和用户已经是登录状态了。

此时，用户想要访问系统B www.java4y.com 受限的资源(比如说订单功能，订单功能需要登录后才能访问)，系统B www.java4y.com 发现用户并没有登录，于是 重定向到 sso 认证中心，并将自己的地址作为参数 。请求的地址如下：

• www.sso.com?service=www.java4y.com

注意，因为之前用户与认证中心 www.sso.com 已经建立了全局会话（当时已经把Cookie保存到浏览器上了），所以这次系统B 重定向 到认证中心 www.sso.com 是可以带上Cookie的。

认证中心 根据带过来的Cookie 发现已经与用户建立了全局会话了，认证中心 重定向 回系统 B ，并把Token携带过去给系统B，重定向的地址如下：

• www.java4y.com?token=xxxxxxx

接着，系统B去 sso 认证中心验证这个Token是否正确，如果正确，则系统B和用户建立局部会话（ 创建Session ）。到此，系统B和用户已经是登录状态了。

看到这里，其实SSO认证中心就类似一个 中转站 。

Java

版权声明：本文内容由网络用户投稿，版权归原作者所有，本站不拥有其著作权，亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容，请联系我们jiasou666@gmail.com 处理，核实后本网站将在24小时内删除侵权内容。