生活中的事情

最近购物的时候遇到一个很奇妙的情况，我发现我只在天猫登录了，之后去淘宝买东西的时候，完全不虚要登录，这是为什么？

首先我去天猫登录一下，之后刷新淘宝来看看，登录天猫之后，直接去刷新淘宝页面

我们会发现淘宝也登录了，为什么可以这么方便呢？这里就用到了单点登录的概念。

什么是单点登录

单点登录在大型网站里使用得非常频繁，例如，阿里旗下有淘宝、天猫、支付宝,阿里巴巴，等网站，还有背后的成百上千的子系统，用户一次操作或交易可能涉及到几十个子系统的协 作，如果每个子系统都需要用户认证，不仅用户会疯掉，各子系统也会为这种重复认证授权的逻辑搞疯掉。

单点登录在大型网站里使用得非常频繁，例如，阿里旗下有淘宝、天猫、支付宝,阿里巴巴，阿里妈妈， 阿里妹妹等网站，还有背后的成百上千的子系统，用户一次操作或交易可能涉及到几十个子系统的协 作，如果每个子系统都需要用户认证，不仅用户会疯掉，各子系统也会为这种重复认证授权的逻辑搞疯 掉。

所以，单点登录要解决的就是，用户只需要登录一次就可以访问所有相互信任的应用系统。

单点登录（Single Sign On），简称为 SSO，是目前比较流行的企业业务整合的解决方案之一。SSO 并 不能算是一种架构，只能说是一个解决方案。SSO核心意义就一句话：一处登录，处处登录；一处注 销，处处注销。就是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统，即 用户只需要记住一组用户名和密码就可以登录所有有权限的系统。

使用“单点登录”还是SOA时代的需求之一。在面向服务的架构中，服务和服务之间，程序和程序 之间的通讯大量存在，服务之间的安全认证是SOA应用的难点之一，应此建立“单点登录”的系统体系能 够大大简化SOA的安全问题，提高服务之间的合作效率。

简谈SSO的发展

早期的单机部署

早期我们开发web应用都是所有的包放在一起打成一个war包放入tomcat容器来运行的,所有的功能,所 有的业务,后台管理,门户界面,都是由这一个war来支持的,这样的单应用,也称之为单体应用,因为十分不好 扩展和拆分。

在单体应用下,用户的登录以及权限就显得十分简单：过滤器,用户登录成功后,把相关信息放入会话 中,HTTP维护这个会话,再每次用户请求服务器的时候来验证这个会话即可

验证登录的这个会话就是session,维护了用户状态,也就是所谓的HTTP有状态协议,我们经常可以在浏览 器中看到JSESSIONID,这个就是用来维持这个关系的key。

分布式集群部署

由于网站的访问量越来也大，单机部署已经是巨大瓶颈，所以才有了后来的分布式集群部署。

例如：如 果引入集群的概念,1单应用可能重新部署在3台tomcat以上服务器,使用nginx来实现反向代理, 此时,这个 session就无法在这3台tomcat上共享,用户信息会丢失，所以不得不考虑多服务器之间的session同步问 题，这就是单点登录的来源。

多种解决方案

单点登录的实现方案，一般就包含以下三种：

Cookies

Session同步

分布式Session方式

目前的大型网站都是采用分布式Session的方式。我先从cookie的实现谈起，你就能很清楚的知道为什 么需要分布式session方式实现单点登录。

基于Cookie的单点登录

最简单的单点登录实现方式，是使用cookie作为媒介，存放用户凭证。 用户登录父应用之后，应用返回 一个加密的cookie，当用户访问子应用的时候，携带上这个cookie，授权应用解密cookie并进行校验， 校验通过则登录当前用户。

不难发现以上方式把信任存储在客户端的Cookie中，这种方式很容易令人质疑：

Cookie不安全

不能跨域实现免登

对于第一个问题，通过加密Cookie可以保证安全性，当然这是在源代码不泄露的前提下。如果Cookie 的加密算法泄露，攻击者通过伪造Cookie则可以伪造特定用户身份，这是很危险的。 对于第二个问题，不能跨域实现免登更是硬伤。所以，才有了以下的分布式session方案

分布式session单点登录

我们这次就是基于redis的单点登录

例如，阿里有很多系统分割为多个子系统，独立部署后，不可避免的会遇到会话管理的问题，类似这样 的电商网站一般采用分布式Session实现。 再进一步可以根据分布式Session+redis，建立完善的单点登录或账户管理系统。

流程运行：

用户第一次登录时，将会话信息（用户Id和用户信息），比如以用户Id为Key，写入分布式 Session；

用户再次登录时，获取分布式Session，是否有会话信息，如果没有则调到登录页

一般采用Cache中间件实现，建议使用Redis，因此它有持久化功能，方便分布式Session宕机后， 可以从持久化存储中加载会话信息；

存入会话时，可以设置会话保持的时间，比如15分钟，超过后自动超时；

结合Cache中间件实现的分布式Session，可以很好的模拟Session会话。

常见方案

实现单点登录说到底就是要解决如何产生和存储那个信任，再就是其他系统如何验证这个信任的有效 性，

因此要点也就以下两个：

存储信任 服务器生产

验证信任 ~ 拿到服务器再次验证~

身份认证技术：

cas（单点登录）

Spring Security OAuth2（第三方登录授权：QQ登陆）

jwt (客户端token：原生)

安全控制框架：

spring-security

shiro