单点登录系统流程
# 单点登录系统流程
# 概述
单点登录全称 Single Sign-On(以下简称 SSO),是指在多系统应用群中登录一个系统,便可在其他所有系统中得到授权而无需再次登录,主要包括单点登录与单点注销两部分。
# 单点登录
相比于单系统登录,SSO
需要一个独立的统一认证中心,只有认证中心能接受用户的用户名、密码等安全信息,其他系统不提供登录入口,只接受认证中心的间接授权。间接授权通过令牌实现,SSO
认证中心验证用户的用户名和密码通过,创建授权令牌,在接下来的跳转过程中,授权令牌作为参数发送给各个子系统,子系统拿到令牌,即得到了授权,可以借此创建局部会话,局部会话登录方式与单系统的登录方式相同。这个过程就是单点登录的原理,如下图:
上图流程简要描述:
- 用户访问系统 1 的受保护资源,系统1发现用户未登录,跳转至
SSO
认证中心,并将自己的地址作为参数 SSO
认证中心发现用户未登录,将用户引导至登录页面- 用户输入用户名密码提交登录申请
SSO
认证中心校验用户信息,创建用户与SSO
认证中心之间的会话,称为全局会话,同时创建授权令牌SSO
认证中心带着令牌跳转会最初的请求地址(系统1)- 系统1拿到令牌,去
SSO
认证中心校验令牌是否有效 SSO
认证中心校验令牌,返回有效,注册系统 1- 系统 1 使用该令牌创建与用户的会话,称为局部会话,返回受保护资源
- 用户访问系统 2 的受保护资源
- 系统2发现用户未登录,跳转至
SSO
认证中心,并将自己的地址作为参数 SSO
认证中心发现用户已登录,跳转回系统 2 的地址,并附上令牌- 系统 2 拿到令牌,去
SSO
认证中心校验令牌是否有效 SSO
认证中心校验令牌,返回有效,注册系统 2- 系统 2 使用该令牌创建与用户的局部会话,返回受保护资源
用户登录成功之后,会与 SSO
认证中心及各个子系统建立会话,用户与 SSO
认证中心建立的会话称为全局会话,用户与各个子系统建立的会话称为局部会话。
局部会话建立之后,用户访问子系统受保护资源将不再通过 SSO
认证中心,全局会话与局部会话有如下约束关系:
- 局部会话存在,全局会话一定存在
- 全局会话存在,局部会话不一定存在
- 全局会话销毁,局部会话必须销毁
# 单点注销
单点登录自然也要单点注销,在一个子系统中注销,所有子系统的会话都将被销毁,SSO
认证中心一直监听全局会话的状态,一旦全局会话销毁,监听器将通知所有注册系统执行注销操作,这个过程如下图:
上图流程简要描述:
- 用户向系统 1 发起注销请求
- 系统1根据用户与系统1建立的会话
ID
拿到令牌,向SSO
认证中心发起注销请求 SSO
认证中心校验令牌有效,销毁全局会话,同时取出所有用此令牌注册的系统地址SSO
认证中心向所有注册系统发起注销请求- 各注册系统接收
SSO
认证中心的注销请求,销毁局部会话 SSO
认证中心引导用户至登录页
# 常见部署
单点登录涉及 SSO
认证中心与众子系统。子系统与 SSO
认证中心一般需要交换令牌、校验令牌及发起注销的通信请求,因而子系统必须集成 SSO
的客户端,SSO
认证中心则是 SSO
服务端,整个单点登录过程实质是 SSO
客户端与服务端通信过程,通信方式有多种,例如HttpClient
,WebService
、rpc
、restful api
等等,如下图:
# SSO Client
- 拦截子系统未登录用户请求,跳转至
SSO
认证中心 - 接收并存储
SSO
认证中心发送的令牌 - 与
SSO Server
通信,校验令牌的有效性 - 建立局部会话
- 拦截用户注销请求,向
SSO
认证中心发送注销请求 - 接收
SSO
认证中心发出的注销请求,销毁局部会话
# SSO Server
- 验证用户的登录信息
- 创建全局会话
- 创建授权令牌
- 与
SSO Client
通信发送令牌 - 校验
SSO Client
令牌有效性 - 系统注册
- 接收
SSO Client
注销请求,注销所有会话
上次更新: 5/21/2023, 11:34:33 PM