一捎泻、單系統(tǒng)登錄機(jī)制
1、http無狀態(tài)協(xié)議
　　web應(yīng)用采用browser/server架構(gòu)郎汪，http作為通信協(xié)議煞赢。http是無狀態(tài)協(xié)議照筑，瀏覽器的每一次請(qǐng)求凝危，服務(wù)器會(huì)獨(dú)立處理蛾默，不與之前或之后的請(qǐng)求產(chǎn)生關(guān)聯(lián)支鸡，這個(gè)過程用下圖說明苍匆，三次請(qǐng)求/響應(yīng)對(duì)之間沒有任何聯(lián)系

3c91a3bf-25d8-4b1f-8e4a-68535c51aaa8

8a9fb230-d506-4b19-b821-4001c68c4588

將會(huì)話id作為每一個(gè)請(qǐng)求的參數(shù)退唠，服務(wù)器接收請(qǐng)求自然能解析參數(shù)獲得會(huì)話id，并借此判斷是否來自同一會(huì)話荤胁，很明顯瞧预，這種方式不靠譜。那就瀏覽器自己來維護(hù)這個(gè)會(huì)話id吧仅政，每次發(fā)送http請(qǐng)求時(shí)瀏覽器自動(dòng)發(fā)送會(huì)話id垢油，cookie機(jī)制正好用來做這件事圆丹。cookie是瀏覽器用來存儲(chǔ)少量數(shù)據(jù)的一種機(jī)制滩愁，數(shù)據(jù)以”key/value“形式存儲(chǔ)，瀏覽器發(fā)送http請(qǐng)求時(shí)自動(dòng)附帶cookie信息
　　tomcat會(huì)話機(jī)制當(dāng)然也實(shí)現(xiàn)了cookie辫封，訪問tomcat服務(wù)器時(shí)硝枉，瀏覽器中可以看到一個(gè)名為“JSESSIONID”的cookie，這就是tomcat會(huì)話機(jī)制維護(hù)的會(huì)話id倦微，使用了cookie的請(qǐng)求響應(yīng)過程如下圖

518293d9-64b2-459c-9d45-9f353c757d1f

有了會(huì)話機(jī)制，登錄狀態(tài)就好明白了欣福，我們假設(shè)瀏覽器第一次請(qǐng)求服務(wù)器需要輸入用戶名與密碼驗(yàn)證身份责球，服務(wù)器拿到用戶名密碼去數(shù)據(jù)庫(kù)比對(duì)，正確的話說明當(dāng)前持有這個(gè)會(huì)話的用戶是合法用戶，應(yīng)該將這個(gè)會(huì)話標(biāo)記為“已授權(quán)”或者“已登錄”等等之類的狀態(tài)棕诵，既然是會(huì)話的狀態(tài)裁良，自然要保存在會(huì)話對(duì)象中凿将，tomcat在會(huì)話對(duì)象中設(shè)置登錄狀態(tài)如下

HttpSession session = request.getSession();
session.setAttribute("isLogin", true);

用戶再次訪問時(shí)校套，tomcat在會(huì)話對(duì)象中查看登錄狀態(tài)

HttpSession session = request.getSession();
session.getAttribute("isLogin");

實(shí)現(xiàn)了登錄狀態(tài)的瀏覽器請(qǐng)求服務(wù)器模型如下圖描述

70e396fa-1bf2-42f8-a504-ce20306e31fa

6dfbb0b1-46c0-4945-a3bf-5f060fa80710

9fe14ab3-4254-447b-b850-0436e628c254

4d58ccfa-0114-486d-bec2-c28f2f9eb513

用戶登錄成功之后吃谣，會(huì)與sso認(rèn)證中心及各個(gè)子系統(tǒng)建立會(huì)話乞封，用戶與sso認(rèn)證中心建立的會(huì)話稱為全局會(huì)話，用戶與各個(gè)子系統(tǒng)建立的會(huì)話稱為局部會(huì)話岗憋，局部會(huì)話建立之后肃晚，用戶訪問子系統(tǒng)受保護(hù)資源將不再通過sso認(rèn)證中心，全局會(huì)話與局部會(huì)話有如下約束關(guān)系
局部會(huì)話存在仔戈，全局會(huì)話一定存在
全局會(huì)話存在关串，局部會(huì)話不一定存在
全局會(huì)話銷毀，局部會(huì)話必須銷毀

你可以通過博客園监徘、百度晋修、csdn、淘寶等網(wǎng)站的登錄過程加深對(duì)單點(diǎn)登錄的理解凰盔，注意觀察登錄過程中的跳轉(zhuǎn)url與參數(shù)
2墓卦、注銷
　　單點(diǎn)登錄自然也要單點(diǎn)注銷，在一個(gè)子系統(tǒng)中注銷户敬，所有子系統(tǒng)的會(huì)話都將被銷毀落剪，用下面的圖來說明

3b139d2e-0b83-4a69-b4f2-316adb8997ce

四、部署圖
　　單點(diǎn)登錄涉及sso認(rèn)證中心與眾子系統(tǒng)，子系統(tǒng)與sso認(rèn)證中心需要通信以交換令牌问麸、校驗(yàn)令牌及發(fā)起注銷請(qǐng)求往衷，因而子系統(tǒng)必須集成sso的客戶端，sso認(rèn)證中心則是sso服務(wù)端严卖，整個(gè)單點(diǎn)登錄過程實(shí)質(zhì)是sso客戶端與服務(wù)端通信的過程席舍，用下圖描述

fb29685c-487c-42b9-9ceb-6c7ee29e98c9

sso-server
驗(yàn)證用戶的登錄信息
創(chuàng)建全局會(huì)話
創(chuàng)建授權(quán)令牌
與sso-client通信發(fā)送令牌
校驗(yàn)sso-client令牌有效性
系統(tǒng)注冊(cè)
接收sso-client注銷請(qǐng)求汛兜，注銷所有會(huì)話

接下來，我們按照原理來一步步實(shí)現(xiàn)sso吧通今！
1粥谬、sso-client攔截未登錄請(qǐng)求
　　java攔截請(qǐng)求的方式有servlet、filter衡创、listener三種方式帝嗡，我們采用filter。在sso-client中新建LoginFilter.java類并實(shí)現(xiàn)Filter接口璃氢，在doFilter()方法中加入對(duì)未登錄用戶的攔截

public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
    HttpServletRequest req = (HttpServletRequest) request;
    HttpServletResponse res = (HttpServletResponse) response;
    HttpSession session = req.getSession();
     
    if (session.getAttribute("isLogin")) {
        chain.doFilter(request, response);
        return;
    }
    //跳轉(zhuǎn)至sso認(rèn)證中心
    res.sendRedirect("sso-server-url-with-system-url");
}

2哟玷、sso-server攔截未登錄請(qǐng)求

攔截從sso-client跳轉(zhuǎn)至sso認(rèn)證中心的未登錄請(qǐng)求，跳轉(zhuǎn)至登錄頁(yè)面一也，這個(gè)過程與sso-client完全一樣

3巢寡、sso-server驗(yàn)證用戶登錄信息

用戶在登錄頁(yè)面輸入用戶名密碼，請(qǐng)求登錄椰苟，sso認(rèn)證中心校驗(yàn)用戶信息抑月，校驗(yàn)成功，將會(huì)話狀態(tài)標(biāo)記為“已登錄”

@RequestMapping("/login")
public String login(String username, String password, HttpServletRequest req) {
    this.checkLoginInfo(username, password);
    req.getSession().setAttribute("isLogin", true);
    return "success";
}

4舆蝴、sso-server創(chuàng)建授權(quán)令牌

授權(quán)令牌是一串隨機(jī)字符谦絮，以什么樣的方式生成都沒有關(guān)系题诵，只要不重復(fù)、不易偽造即可层皱，下面是一個(gè)例子

String token = UUID.randomUUID().toString();

5性锭、sso-client取得令牌并校驗(yàn)

sso認(rèn)證中心登錄后，跳轉(zhuǎn)回子系統(tǒng)并附上令牌叫胖，子系統(tǒng)（sso-client）取得令牌草冈，然后去sso認(rèn)證中心校驗(yàn)，在LoginFilter.java的doFilter()中添加幾行

// 請(qǐng)求附帶token參數(shù)
String token = req.getParameter("token");
if (token != null) {
    // 去sso認(rèn)證中心校驗(yàn)token
    boolean verifyResult = this.verify("sso-server-verify-url", token);
    if (!verifyResult) {
        res.sendRedirect("sso-server-url");
        return;
    }java交流669823128
    chain.doFilter(request, response);
}

verify()方法使用httpClient實(shí)現(xiàn)瓮增，這里僅簡(jiǎn)略介紹怎棱，httpClient詳細(xì)使用方法請(qǐng)參考官方文檔

HttpPost httpPost = new HttpPost("sso-server-verify-url-with-token");
HttpResponse httpResponse = httpClient.execute(httpPost);

6、sso-server接收并處理校驗(yàn)令牌請(qǐng)求
　　用戶在sso認(rèn)證中心登錄成功后绷跑，sso-server創(chuàng)建授權(quán)令牌并存儲(chǔ)該令牌拳恋，所以，sso-server對(duì)令牌的校驗(yàn)就是去查找這個(gè)令牌是否存在以及是否過期你踩，令牌校驗(yàn)成功后sso-server將發(fā)送校驗(yàn)請(qǐng)求的系統(tǒng)注冊(cè)到sso認(rèn)證中心（就是存儲(chǔ)起來的意思）
　　令牌與注冊(cè)系統(tǒng)地址通常存儲(chǔ)在key-value數(shù)據(jù)庫(kù)（如redis）中诅岩，redis可以為key設(shè)置有效時(shí)間也就是令牌的有效期。redis運(yùn)行在內(nèi)存中带膜，速度非常快鸳谜，正好sso-server不需要持久化任何數(shù)據(jù)膝藕。
　　令牌與注冊(cè)系統(tǒng)地址可以用下圖描述的結(jié)構(gòu)存儲(chǔ)在redis中，可能你會(huì)問咐扭，為什么要存儲(chǔ)這些系統(tǒng)的地址芭挽？如果不存儲(chǔ)，注銷的時(shí)候就麻煩了蝗肪，用戶向sso認(rèn)證中心提交注銷請(qǐng)求袜爪，sso認(rèn)證中心注銷全局會(huì)話，但不知道哪些系統(tǒng)用此全局會(huì)話建立了自己的局部會(huì)話薛闪，也不知道要向哪些子系統(tǒng)發(fā)送注銷請(qǐng)求注銷局部會(huì)話

3b221593-f9c4-45af-a567-4937786993e8

if (verifyResult) {
    session.setAttribute("isLogin", true);
}

sso-client還需將當(dāng)前會(huì)話id與令牌綁定，表示這個(gè)會(huì)話的登錄狀態(tài)與令牌相關(guān)诱咏，此關(guān)系可以用java的hashmap保存苔可，保存的數(shù)據(jù)用來處理sso認(rèn)證中心發(fā)來的注銷請(qǐng)求

8、注銷過程

用戶向子系統(tǒng)發(fā)送帶有“l(fā)ogout”參數(shù)的請(qǐng)求（注銷請(qǐng)求）袋狞，sso-client攔截器攔截該請(qǐng)求焚辅，向sso認(rèn)證中心發(fā)起注銷請(qǐng)求

String logout = req.getParameter("logout");
if (logout != null) {
    this.ssoServer.logout(token);
}

sso認(rèn)證中心也用同樣的方式識(shí)別出sso-client的請(qǐng)求是注銷請(qǐng)求（帶有“l(fā)ogout”參數(shù)）映屋，sso認(rèn)證中心注銷全局會(huì)話

@RequestMapping("/logout")
public String logout(HttpServletRequest req) {
    HttpSession session = req.getSession();
    if (session != null) {
        session.invalidate();//觸發(fā)LogoutListener
    }
    return "redirect:/";
}

sso認(rèn)證中心有一個(gè)全局會(huì)話的監(jiān)聽器，一旦全局會(huì)話注銷同蜻，將通知所有注冊(cè)系統(tǒng)注銷

public class LogoutListener implements HttpSessionListener {
    @Override
    public void sessionCreated(HttpSessionEvent event) {}
    @Override
    public void sessionDestroyed(HttpSessionEvent event) {
        //通過httpClient向所有注冊(cè)系統(tǒng)發(fā)送注銷請(qǐng)求
    }java交流669823128
}

java交流群669823128