SSO(单点登录)实现机制讲解

川长思鸟来 2022-06-15 23:29 180阅读 0赞

## 引言 ##

单点登录有许多开发商提供解决方案，本文以yale大学SSO开源项目CAS为例，介绍单点登录实现机制。

## 术语解释 ##

SSO－Single Sign On，单点登录

TGT－Ticket Granting Ticket，用户身份认证凭证票据

ST－Service Ticket，服务许可凭证票据

TGC－Ticket Granting Cookie，存放用户身份认证凭证票据的cookie

## SSO原理概述 ##

SSO组件主要包含：SSO服务器、SSO客户端。SSO服务器主要负责完成用户认证、提供单点登录服务；SSO客户端部署在应用系统（Web应用端与C/S架构模式应用端），用户请求访问应用系统的受保护资源时，需要将请求转向SSO服务器进行身份认证、单点登录服务相关处理。

## **SSO服务器接口** ##

<table style="width:639px; height:446px"> 
 <tbody> 
 <tr> 
 <td>uri</td> 
 <td>说明</td> 
 </tr> 
 <tr> 
 <td>/login</td> 
 <td> 凭证请求器，参数如下： service：客户端要访问的应用的标识； renew：如果设置这个参数，sso将被绕过；不支持renew和gateway同时存在，若存在则忽略gateway； gateway：如果设置这个参数，CAS将不再问客户端要凭证。&nbsp; 凭证接收器，参数如下： service：客户端要访问的应用的标识；CAS在认证成功后将它的url转发给客户端； warn：在认证转发给其他服务前，客户端必须给予提示。 </td> 
 </tr> 
 <tr> 
 <td>/logout</td> 
 <td>单点退出，释放cas单点登录的session</td> 
 </tr> 
 <tr> 
 <td>/proxyValidate</td> 
 <td>SSO服务器验证票据的合法性</td> 
 </tr> 
 <tr> 
 <td>&nbsp;</td> 
 <td>&nbsp;</td> 
 </tr> 
 <tr> 
 <td>&nbsp;</td> 
 <td>&nbsp;</td> 
 </tr> 
 </tbody> 
</table>

## SSO单点登录主要原理 ##

SSO单点登录访问流程主要有以下步骤：

1. 访问服务：SSO客户端发送请求访问应用系统提供的服务资源。

2. 定向认证：SSO客户端会重定向用户请求到SSO服务器。

3. 用户认证：用户身份认证。

4. 发放票据：SSO服务器会产生一个随机的Service Ticket。

5. 验证票据：SSO服务器验证票据Service Ticket的合法性，验证通过后，允许客户端访问服务。

6. 传输用户信息：SSO服务器验证票据通过后，传输用户认证结果信息给客户端。

7. 单点退出：用户退出单点登录。

SSO单点登录访问总共会涉及以上6个步骤，但用户不同的SSO访问可能只会涉及到几个步骤，我们把SSO访问流程我们分为5种实例情况介绍：登录点首次访问、登录点二次访问、单点首次访问、单点二次访问、单点退出。这5种实例应当可以比较全面地展示SSO访问实现的机制。

注：文中存在以下术语词汇，解释如下。

登录点：首次进入子系统登录的站点在本文中称为登录点。

单点：用户已经登录，而后再访问另一子系统的站点在本文中称为单点。

登录点首次访问：是指首次访问应用系统，进入登录页面的过程。登录点二次访问：是指在上述”登录点“，再次进行正常的访问”登录点“的过程。

单点首次访问：是指已经在上述“登录点”登录后，再首次访问另一个子系统进行访问的过程。单点二次访问：是指已经在上述“单点首次访问"，再次进行正常的访问”单点“的过程。

**登录点首次访问**

![0_1324533866zTSS.gif][]

说明：用户首次访问”登录点“System1，session中没有用户上下文，于是将请求地址包装为service参数，转向SSO服务器”定向认证“，SSO服务器返回登录页面，用户录入用户名、密码等凭证信息，提交给SSO服务器，SSO服务器进行认证，认证成功后，生成TGT，再根据TGT发放票据ST，返回响应给浏览器，浏览器带着票据ST的service参数的请求，请求SSO服务器验证票据，验证票据成功后，返回给浏览器用户信息（通过cas协议约定的xml格式传递数据解析转换成需要的用户信息），设置session用户上下文、cookie中设置TGC。

**登录点二次访问**

![0_13245343611ukE.gif][]

说明：用户在上述“登录点首次访问”登录成功后，再次访问登录点的应用服务时，判断session中已经存在用户上下文，就不再拦截，直接转向到需要访问的目标服务资源。

**单点首次访问**

![0_1324534438RgLr.gif][]

说明：同上述“登录点首次访问”的说明。

**单点二次访问**

与“登录点二次访问”相似。

**单点退出**

![0_13245446251Zl2.gif][]

说明：用户单点登录后，有一个全局的过滤器SingleSignOutFilter对访问的安全资源的ticket,sessionid记录到一个映射表，我们暂称其为票据会话映射表。在一个子系统(如system1)执行单点退出"/logout"时，先销毁system1的本地session，再向SSO服务器发送单点退出请求，SSO服务器接到这个请求后，将用户认证票据TGT销毁，清除浏览器cookie中的TGC，再读取票据会话映射表，将其对应的票据ST，session全部销毁。这样用户再访问时各子系统时，是单点退出状态，就需要重新登录。

我们再详细从CAS源码中看看SSO单点退出实现机制。

SSO客户端涉及源码类图如下：

![0_1325299282aZ00.gif][]

一般web应用中一般部署在web.xml文件中，单点退出相关配置如下：

<table> 
 <tbody> 
 <tr> 
 <td>&lt;listener&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;listener-class&gt;&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; edu.yale.its.tp.cas.client.session.SingleSignOutHttpSessionListener &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;/listener-class&gt; &nbsp;&nbsp;&nbsp; &lt;/listener&gt; &nbsp;&nbsp;&nbsp; &lt;filter&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;filter-name&gt;SingleSignOutFilter&lt;/filter-name&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;filter-class&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; edu.yale.its.tp.cas.client.session.SingleSignOutFilter &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;/filter-class&gt; &nbsp;&nbsp;&nbsp; &lt;/filter&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;filter&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;filter-name&gt;CasLogoutProxy&lt;/filter-name&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;filter-class&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; edu.yale.its.tp.cas.exclient.SimpleServerLogoutHandler &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;/filter-class&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;init-param&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;param-name&gt;logoutUrl&lt;/param-name&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;!--CAS Server&nbsp; Logout URL--&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;param-value&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; http://localhost:8080/ssoserver/logout &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;/param-value&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;/init-param&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;init-param&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;!--CAS Client Application URL--&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;param-name&gt;serviceUrl&lt;/param-name&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;param-value&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; http://localhost:8070/ssoclient/index.jsp &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;/param-value&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;/init-param&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;/filter&gt; ... &nbsp;&nbsp;&nbsp; &lt;filter-mapping&gt;&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;filter-name&gt;CasLogoutProxy&lt;/filter-name&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;url-pattern&gt;/logout&lt;/url-pattern&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;/filter-mapping&gt;&nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;filter-mapping&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;filter-name&gt;SingleSignOutFilter&lt;/filter-name&gt; &nbsp;&nbsp;&nbsp; &nbsp;&nbsp;&nbsp; &lt;url-pattern&gt;/*&lt;/url-pattern&gt; &nbsp;&nbsp;&nbsp; &lt;/filter-mapping&gt;</td> 
 </tr> 
 </tbody> 
</table>

说明：我们看到单点退出的相关类结构，web.xml配置了单点退出的相关类（1个监听器SingleSignOutHttpSessionListener，2个过滤器SingleSignOutFilter，SimpleServerLogoutHandler）。实现利用了session存储机制，SessionStoreManager是个单例类，用于管理session的存储、删除；SessionMappingStorage是session的存储、删除的执行者，可以看到实际存储的结构是一个artifactId、sessionId为名值对的HashMap表；监听器SingleSignOutHttpSessionListener的作用是session销毁时，调用session管理单例类SessionStoreManager进行session的删除销毁；SingleSignOutFilter的作用有2个：一个是在单点访问拦截安全资源时调用单例类SessionStoreManager存储session，另一个是在单点退出时调用单例类SessionStoreManager删除session；SimpleServerLogoutHandler的作用是将客户端的退出请求转发到SSO服务器端，集中处理做各个子系统的单点退出。

SSO服务器端单点退出涉及源码类图如下：

![0_1325297787b9BR.gif][]

说明：用户发送单点退出请求，转向到SSO服务器的单点退出服务接口/logout，SSO服务器将每次web请求构造一个继承类AbstractWebApplicationService的SimpleWebApplicationServiceImpl的实例，单点退出执行logOutOfService方法，销毁票据、session等处理。

[0_1324533866zTSS.gif]: /images/20220616/da4ad010b68e4e82a3507ee253efe6b5.png
[0_13245343611ukE.gif]: /images/20220616/5c75aea7c3424c4ead1d4492338464b5.png
[0_1324534438RgLr.gif]: /images/20220616/8cb1bac3ca1842d2b1f34ade87a82cf4.png
[0_13245446251Zl2.gif]: /images/20220616/b9398de8430c449fbeaa6820b56089df.png
[0_1325299282aZ00.gif]: /images/20220616/aeed40c534724096968d38da2ab5d8ad.png
[0_1325297787b9BR.gif]: /images/20220616/56d7ca2a275f4986bd80e27a4a1e5db6.png