單點登錄SSO的實現原理_第1頁
單點登錄SSO的實現原理_第2頁
單點登錄SSO的實現原理_第3頁
全文預覽已結束

下載本文檔

版權說明：本文檔由用戶提供并上傳，收益歸屬內容提供方，若內容存在侵權，請進行舉報或認領

文檔簡介

單點登錄SSO的實現原理單點登錄SSO(SingleSignOn)說得簡單點就是在一個多系統共存的環境下，用戶在一處登錄后，就不用在其他系統中登錄，也就是用戶的一次登錄能得到其他所有系統的信任。單點登錄在大型網站里使用得非常頻繁，例如像阿里巴巴這樣的網站，在網站的背后是成百上千的子系統，用戶一次操作或交易可能涉及到幾十個子系統的協作，如果每個子系統都需要用戶認證，不僅用戶會瘋掉，各子系統也會為這種重復認證授權的邏輯搞瘋掉。實現單點登錄說到底就是要解決如何產生和存儲那個信任，再就是其他系統如何驗證這個信任的有效性,因此要點也就以下幾個：?存儲信任?驗證信任只要解決了以上的問題，達到了開頭講得效果就可以說是SSOo最簡單實現SSO的方法就是用Cookie，實現流程如下所示:不然發現以上的方案是把信任存儲在客戶端的Cookie里，這種方法雖然實現方便但立馬會讓人質疑兩個問題：Cookie不安全

不能跨域免登對于第一個問題一般都是通過加密Cookie來處理，第二個問題是硬傷，其實這種方案的思路的就是要把這個信任關系存儲在客戶端，要實現這個也不一定只能用Cookie，用flash也能解決，flash的SharedObjectAPI就提供了存儲能力。一般說來，大型系統會采取在服務端存儲信任關系的做法，實現流程如下所示:2A

用戶I匚―判斷是否已登錄辻0€登錄過，生成信任2[驗證信任0刪除信任0驗證逋過Q以上方案就是要把信任關系存儲在單獨的SSO系統（暫且這么稱呼它）里，說起來只是簡單地從客戶端移到了服務端，但其中幾個問題需要重點解決：?如何高效存儲大量臨時性的信任數據?如何防止信息傳遞過程被篡改?如何讓SSO系統信任登錄系統和免登系統對于第一個問題，一般可以采用類似與memcached的分布式緩存的方案，既能提供可擴展數據量的機制，也能提供高效訪問。對于第二個問題，一般采取數字簽名的方法，要么通過數字證書簽名，要么通過像md5的方式，這就需要SSO系統返回免登URL的時候對需驗證的參數進行md5加密，并帶上token—起返回，最后需免登的系統進行驗證信任關系的時候，需把這個token傳給SSO系統，SSO系統通過對token的驗證就可以辨別信息是否被改過。對于最后一個問題，可以通過白名單來處理，說簡單點只有在白名單上的系統才能請求生產信任關系，同理只有在白名單上的系統才能被免登錄。以上只是提供了些簡單的實現技術，但需要強調的是這只是技術實現而已，

溫馨提示

  • 1. 本站所有資源如無特殊說明，都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等，如果需要附件，請聯系上傳者。文件的所有權益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙，網頁內容里面會有圖紙預覽，若沒有圖紙預覽就沒有圖紙。
  • 4. 未經權益所有人同意不得將文件中的內容挪作商業或盈利用途。
  • 5. 人人文庫網僅提供信息存儲空間，僅對用戶上傳內容的表現方式做保護處理，對用戶上傳分享的文檔內容本身不做任何修改或編輯，并不能對任何下載內容負責。
  • 6. 下載文件中如有侵權或不適當內容，請與我們聯系，我們立即糾正。
  • 7. 本站不保證下載資源的準確性、安全性和完整性, 同時也不承擔用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。

評論

0/150

提交評論