本文共 1205 字，大约阅读时间需要 4 分钟。
单点登录（SSO）与多系统登录的实现原理
单系统登录
在传统的单系统登录方案中，用户每次访问系统都需要手动登录。这种模式基于以下原理：
身份验证：用户通过用户名和密码等信息，在每次请求时与服务器进行身份验证 会话管理：服务器为用户创建会话（Session），记录用户的登录状态 权限管理：根据会话信息，授予用户访问特定资源的权限 这种方式虽然简单，但存在以下问题：
- 用户体验：用户需要在每个系统登录，操作繁琐
- 安全性：会话数据可能被泄露或篡改
多系统登录的需求
随着业务的扩展，多系统登录需求逐渐显现。传统的单系统登录无法满足以下场景：
跨系统访问：用户需要同时访问多个系统 统一身份认证：希望通过一次登录访问所有相关系统 减少用户负载：减少重复登录和认证过程 多系统登录的技术挑战
传统的多系统登录方案（如共享Cookie）存在以下问题：
域名限制：浏览器对Cookie的域名限制导致跨域访问困难 技术差异：不同系统间的Cookie格式和加密方式不同 安全性问题：Cookie易于被篡改 令牌（Token）认证与SSO
为了解决上述问题，令牌认证方案应运而生。其核心原理是引入一个中间认证中心（Single Sign On, SSO Center），实现如下流程：
初始登录：
- 用户访问子系统（如系统1），发现未登录
- 子系统跳转至SSO认证中心
- 用户在认证中心进行登录（用户名密码认证）
- 认证中心创建全局会话，并生成令牌（Token）
令牌验证：
- 认证中心将令牌返回给子系统
- 子系统使用令牌与认证中心验证用户身份
- 验证成功后，子系统为用户创建局部会话
多系统访问：
- 用户访问另一个子系统（如系统2），发现已登录
- 系统2直接从全局会话中获取用户信息
- 不需再次登录，子系统直接验证令牌
单点登录（SSO）的核心原理
SSO的实现基于以下关键技术：
身份认证中心：唯一的认证中心负责用户身份验证 令牌（Token）：作为用户间接认证的核心证书 会话管理： - 全局会话：用户与认证中心的会话，维持整个SSO过程
- 局部会话：用户与各子系统的会话，独立于全局会话
全局会话与局部会话的关系
- 全局会话存在，局部会话一定存在
- 全局会话不存在，局部会话可能不存在
- 全局会话被销毁，所有局部会话也会被销毁
注销流程
单点登录的注销过程如下：
用户注销请求： 子系统处理： - 系统1根据全局会话ID，向认证中心发送注销请求
- 认证中心校验令牌，销毁全局会话
通知所有子系统： 子系统处理： 引导跳转： 总结
通过以上机制，SSO方案实现了用户一次登录，跨系统访问的需求。其核心在于引入认证中心和令牌技术，解决了传统多系统登录的诸多问题。这种方式不仅提升了用户体验，也为后续的业务扩展提供了坚实基础。
转载地址：http://rgyyz.baihongyu.com/