本文主要是介绍用上帝视角俯瞰单点登录的前世与今生（内含两种实现方式的源码），希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！
目录
1.什么是单点登录？
2.单点登录的前世与今生——前世篇（SSO）
2.1.单点登录的定义是：
2.2.总结成简单一句话说就是：
2.3.单点登录的优点：
2.4.拿去游乐园买票来讲一下单点登录的简单实现机制：
2.5.单点登录的实现机制：
2.6.单点登录的分类：
2.7.同域SSO:
2.7.1.同域SSO概念：
2.7.2.同父域SSO概念：
2.7.3.同域SSO实现流程图：
2.7.4.代码实现同域SSO：
3.单点登录的前世与今生——今生篇（CAS）
3.1.同域SSO
3.1.1.CAS
3.1.2.CAS包含两个部分：
3.1.3.在说跨域SSO流程之前要提前说几个CAS知识点：
3.1.4.理解几种票根：
3.1.5.跨域SSO实现流程图：
3.1.6.代码实现跨域SSO（基于CAS-Client）：
1.什么是单点登录？
大家都知道百度不仅仅只有搜索引擎这一个业务，它还有百度贴吧，百度云盘等众所周知的业务。而且有没有发现？你只需要在百度任意一个业务中登陆过，其他业务都默认自动登录了你这个账号呢？比如你在百度搜索中登录了你的账号，你再进入百度贴吧或者百度网盘，显示你已经登录了。
百度首页登录：
在登录这个“进阶的小名”账号的情况下，分别打开百度网盘和百度地图的效果：
百度网盘和百度地图都默认登录了“进阶的小名”这个账号了。相对的，如果你在任何一个业务中退出登录，其他的业务也会自动退出当前账号的登录。
2.单点登录的前世与今生——前世篇（SSO）
2.1.单点登录的定义是：
单点登录（英语：Single sign-on，缩写为 SSO），又译为单一签入，一种对于许多相互关连，但是又是各自独立的软件系统，提供访问控制的属性。当拥有这项属性时，当用户登录时，就可以获取所有系统的访问权限，不用对每个单一系统都逐一登录。这项功能通常是以轻型目录访问协议（LDAP）来实现，在服务器上会将用户信息存储到LDAP数据库中。相同的，单一退出（single sign-off）就是指，只需要单一的退出动作，就可以结束对于多个系统的访问权限。
2.2.总结成简单一句话说就是：
在多个应用系统中，用户只需要登录一次就可以访问相互信任的应用系统。
2.3.单点登录的优点：
不管是百度还是我们自己公司的项目，随着时间的推移，我们都需要根据市场需求或是客户新的需求退出新的功能，不可能在每一个新加的模块中都写一遍登录的业务，于是单点登录解决了这个问题，将登录模块从其他业务模块中抽离出来。
2.4.拿去游乐园买票来讲一下单点登录的简单实现机制：
我们95后的天津孩子应该都去过一个叫“乐园”的游乐场，这个游乐场里面有：“碰碰车”、“旋转木马”、“丛林鼠”、“摩天轮”等游乐设施，这么多的游乐设施，如果家长想带着熊孩子挨个儿玩一遍是不太可能了，为啥啊？还不是因为排队买票浪费时间吗！人多的时候，玩儿俩设施就家走了😂。排一个小时“碰碰车”的队，孩子进去玩10分钟出来，孩子是美了，一看，家大人又去旁边“激流勇进”排队去了，针对这种熊孩子，“乐园”就推出了通票这一制度。通票就是：“乐园”大门口买一张通票（阿姨给你手腕戴上一个印着通票盖着戳的这么一个纸圈），进到里面家大人就不用单独给熊孩子排队挨个设施买票了，家大人找个树荫下一呆，看着熊孩子带着那个纸圈满园子跑就完了😂。
2.5.单点登录的实现机制：
如下图所示，当用户第一次访问系统1的时候，因为还没有登录，会被引导到认证系统中进行登录。
- 根据用户提供的登录信息，认证系统进行身份效验，如果通过效验，应该返回给用户一个认证的凭据Ticket;
- 用户再访问其他相互信任的应用的时候，就会把这个Ticket作为自己认证的凭据，应用系统接受到请求之后会把 Ticket送到认证系统进行效验，检查 Ticket的合法性;
- 如果通过效验，用户就可以在不用再次登录的情况下访问系统2和系统3了。
2.6.单点登录的分类：
我将会把单点登录分为“同域SSO”和“跨域SSO”两部分说：（“跨域SSO” 会在后文 单点登录的前世与今生——今生篇（CAS）中提到）
2.7.同域SSO:
同域SSO又分为 ： “同域SSO” 和 “同父域SSO”
2.7.1.同域SSO概念：
没有设置独立的 SSO 服务器，因为业务后台服务器本身就足以承担 SSO 的职能。
2.7.2.同父域SSO概念：
和同域SSO不同在于，服务器在返回 cookie 的时候，要把cookie 的 domain 设置为其父域。
2.7.3.同域SSO实现流程图：
同域SSO：
- 用户点击http://www.xiaoming.com页面登录按钮，向后台服务器发送登录请求；
- 输入正确的用户名密码，登录认证成功，服务器会把登录信息写入session；
- 服务器为该用户生成一个cookie，并加入到response header中，随着请求返回而写入浏览器中；
- 用户再次访问同域的http://cart.xiaoming.com的时候，浏览器会带上之前的cookie；
- 后台服务器通过该cookie验证当前账户的登陆状态了。
同父域SSO：
- 同父域 SSO 是同域 SSO 的简单升级，唯一的不同在于，服务器在返回 cookie 的时候，要把cookie 的 domain 设置为其父域。
- 比如两个产品的地址分别为 http://www.xiaoming.com 和 http://cart.xiaoming.com，那么 cookie 的域设置为 xiaoming.com 即可。在访问两个资源的时候，这个 cookie 都能发送到服务器，本质上和同域 SSO 没有区别。
2.7.4.代码实现同域SSO：
接下来我通过一个Demo来演示同域SSO的要整过程。这个Demo模拟的是利用cookie实现的同域单点登录：（因为我的前后端打包部署在一个Server里，而且浏览器用同一个Origin请求前端和服务器端，即使端口号不同，也不存在跨域问题。）
先上效果：
我在Hosts文件里面进行了如下配置（模拟）：
127.0.0.1 www.xiaoming.com
127.0.0.1 vip.xiaoming.com
127.0.0.1 cart.xiaoming.com
127.0.0.1 login.xiaoming.com
本文只展示部分重要代码（点击获取同域SSO源码（导入项目时注意：本项目是Gradle构建的多模块项目））
登录模块后端处理登录业务代码：
@Controller
@RequestMapping("/login")
public class LoginController {// 模拟数据库用户数据public static Set<User> dbUser;static {dbUser = new HashSet<>();dbUser.add(new User(0, "zhangsan", "1"));dbUser.add(new User(1, "lisi", "2"));dbUser.add(new User(2, "wangwu", "3"));}//处理“/login”下的post请求@PostMappingpublic String doLogin(User user, HttpSession session, HttpServletResponse response) {System.out.println(dbUser);String target = (String) session.getAttribute("target");System.out.println(target);/*** 此处为lambda表达式（源码中又完整解释）*/Optional<User> first = dbUser.stream().filter(dbUser -> dbUser.getUsername().equals(user.getUsername()) &&dbUser.getPassword().equals(user.getPassword())).findFirst();//判断用户是否登录if (first.isPresent()) {//保存用户登录信息String token = UUID.randomUUID().toString();//随机生成一个token，UUID（全局唯一标识符）Cookie cookie = new Cookie("TOKEN", token);//cookie要在子系统之间互相访问，要在同一个域下cookie.setDomain("xiaoming.com");response.addCookie(cookie);//模拟缓存，把User和随机生成的cookie存（put）到“loginUser”方法中的mapLoginCacheUtil.loginUser.put(token, first.get());} else {//登陆失败session.setAttribute("msg", "用户名或密码错误");return "login";}//重定向到target地址return "redirect:" + target;}/*** 给其他子系统开放一个接口，通过token获取登录用户的信息* @param token* @return*/@GetMapping("/info")@ResponseBody//ResponseEntity <T> ，泛型T 表示要设置的返回的 响应体public ResponseEntity<User> getUserInfo(String token) {if (!StringUtils.isEmpty(token)) {User user = LoginCacheUtil.loginUser.get(token);return ResponseEntity.ok(user);} else {//错误请求（我要token，你却没给我）return new ResponseEntity<>(null, HttpStatus.BAD_REQUEST);}}
}登录模块后端跳转页面控制器：
/*** 页面跳转逻辑*/
@Controller
@RequestMapping("/view")
public class ViewController {/*** 跳转到登录页面* @return* @RequestParam中 value表示参数名字 required表示是否为必需，defaultValue表示默认值* @CookieValue中 有cookie就获取“TOKEN”没有就不获取，cookie不是必须的*/@GetMapping("/login")public String tologin(@RequestParam(required = false, defaultValue = "") String target,HttpSession session,@CookieValue(required = false, value = "TOKEN") Cookie cookie) {/*** 判断target是否为空* 为空：主页面* 不为空：存到session*/if (StringUtils.isEmpty(target)) {target = "http://www.xiaoming.com:9010";}if (cookie != null) {/*** 如果是登录的用户再次访问登陆系统时，就重定向主页面（target）*/String value = cookie.getValue();//获取模拟缓存类LoginCacheUtil中拿出对应token的用户信息User user = LoginCacheUtil.loginUser.get(value);if (user != null) {return "redirect:" + target;}}
// else {//重定向地址session.setAttribute("target", target);return "login";
// }}
}首页后端跳转页面控制器：
@Controller
@RequestMapping("/view")
public class ViewController {@Autowiredprivate RestTemplate restTemplate;private final String LOGIN_INFO_ADDRESS = "http://login.xiaoming.com:9000/login/info?token=";@GetMapping("/index")public String toIndex(@CookieValue(required = false, value = "TOKEN") Cookie cookie, HttpSession session) {if (cookie != null) {String token = cookie.getValue();if (!StringUtils.isEmpty(token)) {Map result = restTemplate.getForObject(LOGIN_INFO_ADDRESS + token, Map.class);System.out.println("hahha" + result);session.setAttribute("loginUser", result);}}return "/index";}
}
文章篇幅有限，只展示部分代码，可以 点击获取同域SSO源码 clone到本地自行测试。
3.单点登录的前世与今生——今生篇（CAS）
3.1.跨域SSO
3.1.1.CAS概念：
集中式认证服务（英语：Central Authentication Service，缩写CAS）是一种针对万维网的单点登录协议。它的目的是允许一个用户访问多个应用程序，而只需向认证服务器提供一次凭证（如用户名和密码）。这样用户不仅不需在登陆web应用程序时重复认证，而且这些应用程序也无法获得密码等敏感信息。CAS 是 Yale 大学发起的一个企业级的、开源的项目，旨在为 Web 应用系统提供一种可靠的单点登录解决方法。
3.1.2.CAS包含两个部分：
CAS Server 和 CAS Client
- CAS Server：负责完成对用户的认证工作 , 需要独立部署。
- CAS Client：负责处理对客户端受保护资源的访问请求，需要对请求方进行身份认证时，重定向到 CAS Server 进行认证。
3.1.3.在说跨域SSO流程之前要提前说几个CAS知识点：
Cas-Client接口方面：
/login：登录接口，用于登录到中心服务器。
/logout：登出接口，用于从中心服务器登出。
3.1.4.理解几种票根：
1.TGT (Ticket Grangting Ticket) :
TGT 是 CAS 为用户签发的登录票据，拥有了 TGT，用户就可以证明自己在 CAS 成功登录过。TGT 封装了 Cookie 值以及此 Cookie 值对应的用户信息。
2.TGC(Ticket Granting Cookie) :
CAS Server 生成TGT放入自己的 Session 中，而 TGC 就是这个 Session 的唯一标识（SessionId），以 Cookie 形式放到浏览器端。
3.ST(Service Ticket) :
ST 是 CAS 为用户签发的访问某一 service 的票据。用户访问 service 时，service 发现用户没有 ST，则要求用户去 CAS 获取 ST。
票据关系：用户信息签发TGT，TGT签发ST，PGT签发PT。
3.1.5.跨域SSO实现流程图：
- 用户访问产品 CasClientOne，域名是 http://localhost:8081。
- 由于用户没有携带在CasClientOne上登录的 cookie，所以 CasClientOne重定向到SSO 服务器的地址。
- 由于用户没有携带在 SSO 服务器上登录的 TGC，所以 SSO 服务器判断用户未登录，给用户显示统一登录界面。
- 登录成功后，SSO 服务器构建用户在 SSO 登录的 TGT，同时返回一个 http 重定向（包含 SSO 服务器派发的 ST ）。
- 重定向的 http response 中包含写 cookie。这个 cookie 代表用户在 SSO 中的登录状态，它的值是 TGC。
- 浏览器重定向到CasClientOne。此时重定向的 url 中携带着 SSO 服务器生成的 ST。根据 ST，CasClientOne向 SSO 服务器发送请求，SSO 服务器验证票据的有效性。验证成功后，CasClientOne知道用户已经在 SSO服务器登录了，于是CasClientOne构建用户登录 session。
- 用户访问产品CasClientTWO，域名是 http://localhost:8082。
- 由于用户没有携带在CasClientTWO上登录的cookie，所以 CasClientTWO重定向到SSO 服务器，去询问用户在 SSO 中的登录状态。
- 浏览器重定向到 SSO服务器。由于已经向浏览器写入了携带 TGC 的cookie，所以此时 SSO 服务器可以拿到，根据 TGC 去查找 TGT，如果找到，就判断用户已经在SSO服务器登录过了。
- SSO 服务器返回一个重定向，重定向携带 ST。
- 浏览器带 ST 重定向到CasClientTWO。
- CasClientTWO根据票据向 SSO 服务器发送请求，票据验证通过后，CasClientTWO知道用户已经在SSO服务器登录了，于是生成 session，向浏览器写入CasClientTWO的 cookie。
3.1.6.代码实现跨域SSO（基于CAS-Client）：
先上效果：
本文只展示部分重要代码（点击获取CAS-Demo源码（导入项目时注意：本项目是Maven构建的多模块项目））
客户端One的部分实现：
public class CasClientOne {@RequestMapping("/CasClientOne")public String CasClientOne(HttpSession session, HttpServletRequest request){Principal userPrincipal = request.getUserPrincipal();String name = userPrincipal.getName();session.setAttribute("msg",name+"登录了CasClientOne。。。");return "CasClientOne";}}代码使用Springboot集成Cas5.3实现，点击获取配置好的Cas-Server，篇幅有限，本文中只展示了一个客户端的实现，可以 点击获取CAS-Demo源码 Clone到本地自行测试。
关于Cas，后期还会更新一些我在公司项目中使用的(SpringBoot CAS-Client)实际遇到的一些问题的解决方案。感兴趣的小伙伴可以点点关注。觉得本文对您理解单点登录有一些帮助的小伙伴，麻烦给这篇文章点点赞。如果大佬发现本文理解存在问题，希望可以在下方评论区指点我改正。最后谢谢大家的阅读！小名祝大家每天都开开心心哒~😁
这篇关于用上帝视角俯瞰单点登录的前世与今生（内含两种实现方式的源码）的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！
