sso登录原理

单点登录技术方案

单点登录（SSO）是一种身份验证技术，允许用户只需一次登录即可访问多个应用程序或系统。SSO技术可提高用户体验，简化用户管理和减少密码管理问题。在本文中，将介绍SSO技术的工作原理、实施方案以及其在企业中的应用。

一、SSO技术的工作原理

传统的身份验证机制要求用户在每个应用程序或系统中都输入用户名和密码才能访问。而SSO技术解决了这个问题，当用户首次登录时，系统会验证其身份并生成一个称为令牌（token）的标识。该令牌被存储在用户的设备上，并在用户访问其他应用程序或系统时被传递给相应的认证服务器。认证服务器会验证令牌的有效性，并授权用户访问相应的应用程序或系统，而无需再次输入用户名和密码。

二、SSO技术实施方案

1.基于SAML的SSO

安全声明标记语言（Security Assertion Markup Language，SAML）是一种用于在不同安全域之间传递认证和授权信息的XML开放标准。基于SAML的SSO方案通过在不同的系统之间建立信任关系，使用户只需一次登录就能访问多个应用程序或系统。

该方案的工作流程如下：

-用户访问一个应用程序或系统，该应用程序或系统将用户重定向到认证服务器。 - 认证服务器验证用户身份，并生成SAML断言（SAML Assertion），包含用户的认证和授权信息。

-认证服务器将SAML断言发送回应用程序或系统，以便进行用户的授权。

-应用程序或系统根据SAML断言确认用户身份，并为其授权访问。

2.基于OpenID Connect的SSO

OpenID Connect是一个建立在OAuth 2.0协议之上的身份验证协议，为用户和客户端提供了一种安全、简单和标准化的身份验证方式。

该方案的工作流程如下：

- 用户访问一个应用程序或系统，该应用程序或系统将用户重定向回身份提供者（Identity Provider）。

-用户在身份提供者处进行身份验证，并授权应用程序或系统访问其身份信息。

SSO实现原理

SSO实现原理图

A系统Portal:loginC系统B系统Portal:认证中心用户ticket检查1、访问C系统有：提交验证ticket无：提交loginCookie检查登录无有：返回ticket重订向C系统Ticket验证验证通过验证失败，重新登录

1、 用户登录A系统，系统检查ticket.

1.1 有，提交认证中心验证，认真通过重定向A系统并返回USERNAME,A系统生成自己的Session.

1.2 无，提交LOGIN进行COOKIE检查，有则重定向返回A系统并TICKET，A系统生成自己的Session；无则重新登录

重点：根据PORTAL服务器上的COOKIE判断用户是否登录过PORTAL, COOKIE里带有TICKET.

2、 其他系统重复此动作

1. SSO需求

单点登录（Single Sign On, SSO）是企业应用集成中最常见的需求。异构系统间往往都有各自的用户管理和身份验证机制，为避免用户在进行系统切换时频繁输入用户名和密码，因此必须要实现单点登录。

2. SSO原理

说到SSO的原理，先得说一般Web应用的身份验证原理。Web身份验证之所以能成为问题主要在于HTTP协议的无状态性，这导致了每次HTTP的请求和响应的无关性。而应用的状态保持是大部分应用系统的一般性需求，因此必须借助其他机制，这就是Cookie。

2.1. Cookie的原理

一个Cookie由name、value、domain、path、expires组成。可以给HTTP响应添加Cookie，然后Cookie就作为HTTP响应的Headers返回给浏览器，例如Domino的登录成功后的Cookie响应头为：Set-Cookie: DomAuthSessId=1AD479C4D11CD10278A4C523320A6918; path=/

没有设置expires就表示仅在当前浏览器进程生命期内有效，不保存到客户机上；若expires时间大于当前时间，则浏览器在收到这个 Cookie以后将其写入到客户机文件中，一般是保存在C:\Documents and Settings\Administrator\Cookies\下。没有设置domain就表示只在当前域内有效。

单点登录技术方案设计

单点登录（Single Sign-On，简称SSO）技术是一种可以让用户只需一次登录就能访问多个应用系统的身份验证解决方案。它可以提高用户体验、减少用户密码管理负担，并简化应用系统的身份验证过程。下面将从基本原理、技术方案和安全性方面对SSO技术进行设计。

一、基本原理

SSO的基本原理是通过在用户浏览器和应用系统之间建立一个中央身份验证服务，用户只需在该服务中进行一次登录，该服务将创建一个安全的令牌，并将其存储在用户浏览器的cookie中。当用户访问其他应用系统时，该系统会验证该令牌的有效性，并通过验证后让用户无需再次登录。

二、技术方案

1. 基于cookie的SSO

基于cookie的SSO是最常见的SSO实现方案之一、该方案通过在用户浏览器中设置cookie来存储令牌信息。当用户访问其他应用系统时，系统会读取cookie中的令牌信息，并通过令牌验证用户的身份。

2. 基于Token的SSO

基于Token的SSO方案是当前比较流行的SSO技术方案之一、该方案通过令牌（Token）来实现身份验证。当用户登录认证成功后，认证服务器会生成一个Token，并将其返回给应用系统。当用户访问其他应用系统时，系统会将Token发送给认证服务器进行验证。

3.基于SSO协议的SSO 基于SSO协议的SSO方案是一种通用的SSO技术方案。该方案通过指定一个统一的协议来进行身份验证，不同的系统可以通过遵循该协议实现SSO。常见的SSO协议有SAML、OAuth和OpenID Connect等。

三、安全性考虑

1.验证服务安全

验证服务是SSO系统的核心部分，可以集中管理用户的身份信息。因此，验证服务的安全性至关重要。应该采取措施来保护验证服务的机密性和完整性，例如使用SSL/TLS进行通信加密，对请求进行防护等。

2.令牌安全

令牌是验证用户身份的关键，因此令牌的安全性也非常重要。应该使用加密算法对令牌进行加密，并在传输过程中进行安全保护，例如使用HTTPS等。

oauth2.0单点登录原理

OAuth 2.0 是一种授权框架，用于授权第三方应用访问用户资源，而不需要用户提供其凭据。单点登录（Single Sign-On，SSO）是一种身份验证和授权机制，允许用户使用单组凭据登录多个应用。

实现OAuth 2.0单点登录的原理如下：

1. 用户通过浏览器访问应用A，并尝试进行身份验证。应用A检查用户是否已经进行了认证，并未认证的情况下将其重定向到认证服务器。

2. 认证服务器验证用户的身份，并要求用户提供其凭据（如用户名和密码）。

3. 认证服务器验证用户提供的凭据，并生成一个访问令牌（Access Token）。

4. 认证服务器将访问令牌发送回应用A。此时，用户已经完成了对应用A的身份验证，并且应用A具有了访问令牌，可以访问用户的受保护资源。

5. 用户通过浏览器访问应用B，并尝试进行身份验证。应用B检查用户是否已经进行了认证，并未认证的情况下将其重定向到认证服务器。

6. 认证服务器检测到用户已经具有一个有效的访问令牌，并生成一个新的访问令牌（或使用已有的访问令牌）。

7. 认证服务器将新的访问令牌发送回应用B。

8. 应用B使用新的访问令牌来访问用户的受保护资源。

通过这种方式，用户只需一次登录认证，就可以在多个应用中访问受保护资源，无需多次输入凭据。同时，OAuth 2.0的授权机制保证了安全性，因为第三方应用无法获取用户的凭据，只能获取访问令牌来访问受保护资源。