<thead date-time='c7s8vy7x'></thead>
    1. <table draggable='n47yvi2k'></table>
        1. <noframes lang='huhqyi'>

                  1. 文章熱詞:單點登錄

                    日期:2019-10-16 08:59 by 楊國偉 1852 0 收藏
                    我要分享

                    摘要:單點登錄SSO(Single Sign On)說得簡單點就是在一個多系統共存的環境下,用戶在一處登錄後,就不用在其他系統中登錄,也就是用戶的一次登錄能得到其他所有系統的信任。

                    單點登錄在大型網站裏使用得非常頻繁,例如像阿裏巴巴這樣的網站,在網站的背後是成百上千的子系統,用戶一次操作或交易可能涉及到幾十個子系統的協作,如果每個子系統都需要用戶認證,不僅用戶會瘋掉,各子系統也會爲這種重複認證授權的邏輯搞瘋掉。實現單點登錄說到底就是要解決如何産生和存儲那個信任,再就是其他系統如何驗證這個信任的有效性,因此要點也就以下幾個:

                    1、存儲信任

                    2、驗證信任

                    隻要解決了以上的問題,達到了開頭講得效果就可以說是SSO。最簡單實現SSO的方法就是用Cookie,實現流程如下所示:

                    640_wps圖片.jpg

                    不難發現以上的方案是把信任存儲在客戶端的Cookie裏,這種方法雖然實現方便但立馬會讓人質疑兩個問題:

                    1、Cookie不安全

                    2、不能跨域免登

                    對于第一個問題一般都是通過加密Cookie來處理,第二個問題是硬傷,其實這種方案的思路的就是要把這個信任關系存儲在客戶端,要實現這個也不一定隻能用Cookie,用flash也能解決,flash的Shared Object API就提供了存儲能力。

                    一般說來,大型系統會采取在服務端存儲信任關系的做法,實現流程如下所示:

                    640 (1)_wps圖片.jpg

                    以上方案就是要把信任關系存儲在單獨的SSO系統(暫且這麽稱呼它)裏,說起來隻是簡單地從客戶端移到了服務端,但其中幾個問題需要重點解決:

                    1、如何高效存儲大量臨時性的信任數據

                    2、如何防止信息傳遞過程被篡改

                    3、如何讓SSO系統信任登錄系統和免登系統

                    對于第一個問題,一般可以采用類似與memcached的分布式緩存的方案,既能提供可擴展數據量的機制,也能提供高效訪問。

                    對于第二個問題,一般采取數字簽名的方法,要麽通過數字證書簽名,要麽通過像md5的方式,這就需要SSO系統返回免登URL的時候對需驗證的參數進行md5加密,并帶上token一起返回,最後需免登的系統進行驗證信任關系的時候,需把這個token傳給SSO系統,SSO系統通過對token的驗證就可以辨别信息是否被改過。對于最後一個問題,可以通過白名單來處理,說簡單點隻有在白名單上的系統才能請求生産信任關系,同理隻有在白名單上的系統才能被免登錄。

                    上一篇:PHP如何防止XSS攻擊與XSS攻擊原理

                    下一篇:PHP大文件切割上傳并帶上進度條功能


                    評論