SSO单点登录-cookie实现

最新推荐文章于 2021-10-13 10:43:30 发布
原创 最新推荐文章于 2021-10-13 10:43:30 发布 · 892 阅读 · 1 ·
CC 4.0 BY-SA版权
版权归Cohen所有
文章标签：

#java

本文介绍单点登录(SSO)的基本概念及其基于Cookie的实现方案。SSO允许用户在一个系统登录后，无需再次登录即可访问其他互信系统。文章详细解析了利用Cookie存储用户凭证并实现免登录的具体流程。

单点登录及实现方案原理

单点登录概念：

​ 单点登录英文全称Single Sign On，简称就是SSO。它的解释是：在多个应用系统中，只需要登录一次，就可以访问其他相互信任的应用系统。例如，网页登录了淘宝账号，天猫，钉钉等阿里系应用都不用再二次登录了。 SSO核心意义就一句话：一处登录，处处登录；一处注销，处处注销。

一、基于cookie实现单点登录

这是最简单的单点登录实现方式，是使用cookie作为媒介，存放用户凭证。 用户登录父应用之后，应用返回一个加密的cookie，当用户访问子应用的时候，携带上这个cookie，授权应用解密cookie并进行校验，校验通过则登录当前用户。

缺点：

  1. Cookie不安全
  2. 不能跨域实现免登

对于第一个问题，通过加密Cookie可以保证安全性，当然这是在源代码不泄露的前提下。如果Cookie
的加密算法泄露，攻击者通过伪造Cookie则可以伪造特定用户身份，这是很危险的；对于第二个问题，不能跨域实现免登更是硬伤。因此，有了基于Session的单点登录。

cookie实现单点登录流程分析

需要做ip和域名映射：

#主系统
127.0.0.1	www.sso.com
#登录系统
127.0.0.1	login.sso.com
#vip子系统
127.0.0.1	vip.sso.com
#购物车子系统
127.0.0.1	cart.sso.com

  1. 用户首次登录，携带请求页url，跳转登录系统控制层接口

    @Controller
@RequestMapping("view")
public class ViewController {
    @Autowired
    RestTemplate restTemplate;

    //携带token跨服务请求登录服务接口获取已经登陆用户信息--若解决session共享则可以省略该步骤
    private final String LOGIN_INFO_ADDRESS="http://login.sso.com:9001/login/info?token=";
    @GetMapping("/index")
    public String toIndex(@CookieValue(required = false,value = "TOKEN")Cookie cookie, HttpSession session){
        if(null!=cookie){
            String token = cookie.getValue();
            if(StringUtils.isNotEmpty(token)){
                Map result = restTemplate.getForObject(LOGIN_INFO_ADDRESS + token, Map.class);
                session.setAttribute("loginUser",result);
            }
        }else {
            session.removeAttribute("loginUser");
        }
        return "index";
    }

    首页

    <!DOCTYPE html>
<html lang="en" xmlns:th="http://www.w3.org/1999/xhtml">
<head>
    <meta charset="UTF-8">
    <title>首页</title>
</head>
<body>
    <h1>这里是首页展示页面</h1>
    <span>
        <a th:if="${session.loginUser==null}" href="http://login.sso.com:9001/view/login?target=http://www.sso.com:9000/view/index">登录</a>
        <a th:unless="${session.loginUser==null}" href="http://www.sso.com:9000/view/exit">退出</a>
    </span>
    <p th:unless="${session.loginUser==null}">
        <span style="color: deepskyblue" th:text="${session.loginUser.username}"></span> 已登录
    </p>
</body>
</html>

  2. 判断cookie为空，直接跳转登录界面

    /**
 * 页面跳转逻辑
 */
@Controller
@RequestMapping("view")
public class ViewController {
    /**
     * 跳转到登录页面
     *
     * @return
     */
    @GetMapping("/login")
    public String toLogin(@RequestParam(required = false, defaultValue = "") String target, HttpSession session,
                          @CookieValue(required = false, value = "TOKEN") Cookie cookie) {
        if (StringUtils.isEmpty(target)) {
            //未携带url设置默认页面
            target = "http://www.sso.com:9000";
        }
        if (cookie != null) {
            //如果是已经登录的用户再次访问登录系统时，就重定向到回页面
            String token = cookie.getValue();
            User user = LoginCacheUtil.loginUser.get(token);
            if (user != null) {
                return "redirect:" + target;
            }
        }
        //未登录，跳转登录controller
        session.setAttribute("target", target);
        return "login";
    }
}

    登录界面

    <!DOCTYPE html>
<html lang="en" xmlns:th="http://www.w3.org/1999/xhtml">
<head>
    <meta charset="UTF-8">
    <title>Login Module</title>
</head>
<body>
    <h1>欢迎来到登录页面</h1>
    <p style="color:red" th:text="${session.msg}"></p>
    <form action="/login" method="post">
        用户名:<input name="username" value=""/>
        密码:<input name="password" value=""/>
        <button type="submit">登录</button>
    </form>
</body>
</html>

  3. 登录页面表单提交，登录控制层接收用户信息并校验数据是否正确，用户存在，则将该用户信息保存(redis,或Map)，创建cookie，将新建token存储在cookie中，并响应到HttpServletResponse中供其他系统访问，登录成功跳回请求系统控制层接口。

    判断是否登录，已登录判断用户存在session，跳转会请求页面

    @Controller
@RequestMapping("view")
public class ViewController {
    /**
     * 跳转到登录页面
     *
     * @return
     */
    @GetMapping("/login")
    public String toLogin(@RequestParam(required = false, defaultValue = "") String target, HttpSession session,
                          @CookieValue(required = false, value = "TOKEN") Cookie cookie) {
        if (StringUtils.isEmpty(target)) {
            //未携带url设置默认页面
            target = "http://www.sso.com:9000";
        }
        if (cookie != null) {
            //如果是已经登录的用户再次访问登录系统时，就重定向到回页面
            String token = cookie.getValue();
            User user = LoginCacheUtil.loginUser.get(token);
            if (user != null) {
                return "redirect:" + target;
            }
        }
        //未登录，跳转登录controller
        session.setAttribute("target", target);
        return "login";
    }
}

    未登录请求登录接口

    @Controller
@RequestMapping("/login")
public class LoginController {
    // 模拟数据库用户
    private static Set<User> dbUser;
    static {
        dbUser = new HashSet<>();
        dbUser.add(new User(0, "zhangsan", "1234"));
        dbUser.add(new User(1, "lisi", "1234"));
        dbUser.add(new User(2, "中国魂", "123456"));
    }
    @PostMapping
    public String doLogin(User user, HttpSession session, HttpServletResponse response) {
        String target = (String) session.getAttribute("target");
        // 模拟从数据库中通过登录的用户名和密码查找用户，
        Optional<User> first = dbUser.stream().filter(dbUser -> dbUser.getUsername().equals(user.getUsername()) &&
                dbUser.getPassword().equals(user.getPassword())).findFirst();
        // 判断用户是否登录d
        if (first.isPresent()) {
            // 保存用户登录信息
            String token = UUID.randomUUID().toString();
            LoginCacheUtil.loginUser.put(token, first.get());
            session.removeAttribute("msg");
            //设置cookie
            Cookie cookie = new Cookie("TOKEN", token);
            //cookie在子系统间访问域要相同
            //cookie不能跨域
            cookie.setDomain("sso.com");
            /*
            cookie过期时间设置方式：
            cookie.setMaxAge(0);//不记录cookie
            cookie.setMaxAge(-1);//会话级cookie，关闭浏览器失效
            cookie.setMaxAge(60*60);//过期时间为1小时
             */
            cookie.setMaxAge(-1);
            cookie.setPath("/");
            //通过HttpServletResponse将cookie响应到子系统
            response.addCookie(cookie);
        } else {
            //登录失败
            session.setAttribute("msg", "用户名或密码错误");
            return "login";
        }
        // 重定向到target地址
        return "redirect:" + target;
    }

  4. (用户回显)判断cookie不为空，从cookie中获取token，用token从redis中或者跨系统从Map中获取用户信息，并存入session，跳转请求页面显示登录用户。

  5. 子系统点击登录，在登录系统中判断cookie是否存在，存在则获取token，根据token获取登录用户信息，如果用户存在，则直接跳回请求的子系统页面。

    子系统页面

    <!DOCTYPE html>
<html lang="en" xmlns:th="http://www.w3.org/1999/xhtml">
<head>
    <meta charset="UTF-8">
    <title>购物车</title>
</head>
<body>
    <h1>这里是购物车展示页面</h1>
    <span>
        <a th:if="${session.loginUser==null}" href="http://login.sso.com:9001/view/login?target=http://cart.sso.com:9003/view/index">登录</a>
        <a th:unless="${session.loginUser==null}" href="http://cart.sso.com:9003/view/exit">退出</a>
    </span>
    <p th:unless="${session.loginUser==null}">
        <span style="color: deepskyblue" th:text="${session.loginUser.username}"></span> 已登录
    </p>
</body>
</html>

    登录逻辑

    @Controller
@RequestMapping("view")
public class ViewController {
    @Autowired
    RestTemplate restTemplate;
    //携带token跨服务请求登录服务接口获取已经登陆用户信息--若解决session共享则可以省略该步骤
    private final String LOGIN_INFO_ADDRESS="http://login.sso.com:9001/login/info?token=";
    @GetMapping("/index")
    public String toIndex(@CookieValue(required = false,value = "TOKEN")Cookie cookie, HttpSession session){
        if(null!=cookie){
            String token = cookie.getValue();
            if(StringUtils.isNotEmpty(token)){
                Map result = restTemplate.getForObject(LOGIN_INFO_ADDRESS + token, Map.class);
                session.setAttribute("loginUser",result);
            }
        }else {
            session.removeAttribute("loginUser");
        }
        return "index";
    }

    跨服务交互接口,从map中获取用户信息

        /**
     * 通过token获取用户登录信息
     * 跨系统交互
     */
    @GetMapping("/info")
    @ResponseBody
    public ResponseEntity<User> getUserInfo(String token) {
        if (StringUtils.isNotEmpty(token)) {
            User user = LoginCacheUtil.loginUser.get(token);
            return ResponseEntity.ok(user);
        }
        return new ResponseEntity(HttpStatus.BAD_REQUEST);
    }

    public class LoginCacheUtil {
    public static HashMap<String, User> loginUser = new HashMap<>();
}

  6. 退出单点登录：设置cookie过期时间为0，就ok。

     //退出
    @GetMapping("/exit")
    public String toExit(HttpServletRequest request, HttpSession session, HttpServletResponse response) {
        Cookie[] cookies = request.getCookies();
        if (cookies != null && cookies.length > 0) {
            for (Cookie cookie : cookies) {
                if ("TOKEN".equals(cookie.getName())) {
                    cookie.setDomain("sso.com");
                    cookie.setPath("/");
                    cookie.setMaxAge(0);
                    response.addCookie(cookie);
                }
            }
        }
        return "redirect:/view/index";
    }

    pom文件

    <?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>
    <groupId>com.sso</groupId>
    <artifactId>sso-use-cookie</artifactId>
    <packaging>pom</packaging>
    <version>1.0-SNAPSHOT</version>

    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.4.1</version>
        <relativePath/><!--指定pom.xml文件的相对路径，默认从当前pom文件的上一级目录找-->
    </parent>

    <!--所属子系统-->
    <modules>
        <module>sso-main</module><!--主系统-->
        <module>sso-vip</module><!--vip系统-->
        <module>sso-cart</module><!--购物车系统-->
        <module>sso-login</module><!--登录系统-->
    </modules>

    <properties>
        <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
        <project.reporting.outputEncoding>UTF-8</project.reporting.outputEncoding>
        <project.version>1.1</project.version>
        <java.version>1.8</java.version>
        <!-- lombok -->
        <lombok.version>1.18.16</lombok.version>
        <commons-lang3.version>3.11</commons-lang3.version>
    </properties>

    <dependencies>
        <!--内嵌tomcat，包含starter依赖-->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <!--支持单元测试依赖-->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
        </dependency>
        <!-- 工具包 -->
        <dependency>
            <groupId>org.apache.commons</groupId>
            <artifactId>commons-lang3</artifactId>
            <version>${commons-lang3.version}</version>
        </dependency>
        <!-- lombok简化实体代码 -->
        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
            <version>${lombok.version}</version>
            <scope>provided</scope>
        </dependency>
        <!--页面模板-->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-thymeleaf</artifactId>
        </dependency>
    </dependencies>

    <build>
        <pluginManagement>
            <plugins>
                <plugin>
                    <groupId>org.springframework.boot</groupId>
                    <artifactId>spring-boot-maven-plugin</artifactId>
                </plugin>
            </plugins>
        </pluginManagement>
    </build>
</project>

基于CAS协议的SSO单点登录-深度剖析
weixin_38203586的博客
01-07 1570
基于CAS协议的SSO单点登录-深度剖析
ASP.NET MVC SSO单点登录设计与实现代码
10-20
ASP.NET MVC SSO单点登录设计与实现是网络应用程序中常用的一种身份验证机制，它允许用户在一个应用系统中登录后，无需再次输入凭证就能访问其他关联的应用系统。本篇文章主要探讨了如何在ASP.NET MVC环境下构建这样...
基于Cookie的单点登录（SSO）系统介绍
weixin_34019144的博客
11-09 339
SSO的概念： 单点登录SSO（Single Sign-On）是身份管理中的一部分。SSO的一种较为通俗的定义是：SSO是指访问同一服务器不同应用中的受保护资源的同一用户，只需要登录一次，即通过一个应用中的安全验证后，再访问其他应用中的受保护资源时，不再需要重新登录验证。 SSO的用途： 目前的企业应用环境中，往往有很多的应用系统，如办公自动化（OA）系统，财务管理...
SSO单点登录实现与实现原理
07-06
内含SSO单点登录的实现源代码，以及实现原理详解，有需要的可以看看。
单点登录SSO的实现原理
10-23
讲述单点登录（SSO）常见的技术实现原理
SSO单点登录Cookie实现
qq_41426326的博客
06-28 8842
这个demo是从哔哩哔哩上面看的教程，但只将了登录，却没有将退出，内容也很简单，适合初学者了解SSO单点登录的意思和工作原理。 那么什么是SSO单点登录呢，下面几个图大家了解一下。 小编在csdn的主页面www域中登录后，在其他huiyi，download，blog等域名都显示登录了，这就是单点登录。 下面我们来实现一下。 一，配置hosts需要登录的域名 windows...
sso-use-cookie单点登录
01-18
总结，"sso-use-cookie"项目通过SpringBoot和Cookie实现了单点登录功能，适合有一定Spring基础的学习者了解SSO的基本原理和实践。通过深入学习和理解这个项目，开发者能够掌握如何在实际项目中应用SSO，提升系统的...
xxl-sso：分布式单点登录框架。（分布式单点登录框架XXL-SSO）
02-03
XXL-SSO，一种分布式单点登录框架。 介绍 XXL-SSO是一个分布式单点登录框架。 您只需登录一次即可访问所有受信任的应用程序系统。 它具有“轻量级，可伸缩，分布式，跨域，Web + APP支持访问”功能。 现在，它已经...
关于SSO单点登录的简单实现
08-03
SSO（Single Sign-On）单点登录...总之，SSO单点登录为用户提供了便捷的访问体验，同时降低了管理多系统登录的复杂性。通过理解其原理和实现方式，我们可以根据具体需求选择合适的技术方案，构建高效且安全的SSO系统。
简单的SSO方案 COOKIE实现
greystar的专栏
08-07 3568
SSO是单点登录的意思.我相信各位都应该知道使用SSO有什么好处.那废话就不多说了.直接来说一下我的思路吧. 我的思路是采用COOKIE来实现,(COOKIE的有一定的限制性,暂不评论).如果采用COOKIE的话,那首要解决的即是COOKIE的跨域问题.可关键是我们无法操作不同域的COOKIE.如果真能操作的话,那就也没有安全性可言了.只能曲线救国了.那么我们可在登录一个网站的时候,主动的
SSO单点登录原理
不甘愿只写代码的程序员~
11-30 669
什么是SSO？ 单点登录（ Single Sign-On , 简称 SSO ）是目前比较流行的服务于企业业务整合的解决方案之一 SSO 使得在多个应用系统中，用户只需要 登录一次 就可以访问所有相互信任的应用系统 SSO 主要实现方式 共享 cookies 基于共享同域的 cookie 是 Web 刚开始阶段时使用的一种方式，它利用浏览同域名之间自动传递 cookies 机制，实现两个域名之间系统
通过共享cookie实现SSO单点登录
AS_JOPO的专栏
10-13 631
前言： 浏览器cookie能够在二级域名之间共享，这是前提。 流程: 1.浏览器访问页面 2.应用服务器判断是否带有cookie ：token。 3.如果有token，代表登录过，直接返回页面。 4.如果没有token，代表没有登录，重定向到sso服务器（带着回跳地址） 5.在sso服务器完成登录动作后，重定向到回跳地址，并设置cookie：token。这里的关键点就是将cookie的domain属性设置为以【点号开头的一级域名】，这样应用地址就可以和sso地址共享这个cookie。 如下图
sso单点登录之基于cookie实现
qq_45810870的博客
07-15 367
应用技术： cookie、RestTemplate、thymeleaf 注：应该将token和user存放在redis中，因为懒所以写在了本地map中 在登录界面验证用户名和密码时 当用户名和密码验证正确跳转到首页时生成cookie //......如果用户名密码验证正确 String token = UUID.randomUUID().toString();//生成一个随机token Cookie cookie = new Cookie("TOKEN", token);//生成一个co
SSO单点登录
赵广陆
12-31 4153
目录1 单点登录2 SSO讲解3 代码实现3.1 基于cookie和redis的单点登录3.2 单点登陆实现思想：3.2.1 注册3.2.2 登陆3.2.3 拦截器实现4 Cookie共享测试5 不同顶级域名的单点登录临时票据与全局票据 1 单点登录 为什么要使用单点登录系统？ 以前实现的登录和注册是在同一个tomcat内部完成，我们现在的系统架构是每一个系统都是由一个团队进行维护，每个系统都是单独部署运行一个单独的tomcat，所以，不能将用户的登录信息保存到session中（多个tomcat的sess
小蚂蚁-CAS单点登录系列(1)-基础知识
二进制之路
08-10 587
1.单点登录 1.1.概述 　　单点登录（Single Sign On），简称为 SSO，是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。1.2.技术实现机制 　　当用户第一次访问应用系统1的时候，因为还没有登录，会被引导到认证系统中进行登录；根据用户提供的登录信息，认证系统进行身份效验，如果...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值