單點登錄SSO（Single Sign On）說得簡單點就是在一個多系統共存的環境下，用戶在一處登錄后，就不用在其他系統中登錄，也就是用戶的一次登錄能得到其他所有系統的信任，單點登錄在大型網站里使用得非常頻繁；
例如像阿里巴巴這樣的網站，在網站的背后是成百上千的子系統，用戶一次操作或交易可能涉及到幾十個子系統的協作，如果每個子系統都需要用戶認證，不僅用戶會瘋掉，各子系統也會為這種重復認證授權的邏輯搞瘋掉，實作單點登錄說到底就是要解決如何產生和存盤那個信任，再就是其他系統如何驗證這個信任的有效性，因此要點也就以下幾個：
1、存盤信任
2、驗證信任
只要解決了以上的問題，達到了開頭講得效果就可以說是SSO，最簡單實作SSO的方法就是用Cookie，實作流程如下所示：
不難發現以上的方案是把信任存盤在客戶端的Cookie里，這種方法雖然實作方便但立馬會讓人質疑兩個問題：
1、Cookie不安全
2、不能跨域免登
對于第一個問題一般都是通過加密Cookie來處理，第二個問題是硬傷，其實這種方案的思路的就是要把這個信任關系存盤在客戶端，要實作這個也不一定只能用Cookie，用flash也能解決，flash的Shared Object API就提供了存盤能力，
一般說來，大型系統會采取在服務端存盤信任關系的做法，實作流程如下所示：
以上方案就是要把信任關系存盤在單獨的SSO系統（暫且這么稱呼它）里，說起來只是簡單地從客戶端移到了服務端，但其中幾個問題需要重點解決：
1、如何高效存盤大量臨時性的信任資料
2、如何防止資訊傳遞程序被篡改
3、如何讓SSO系統信任登錄系統和免登系統
對于第一個問題，一般可以采用類似與memcached的分布式快取的方案，既能提供可擴展資料量的機制，也能提供高效訪問，
對于第二個問題，一般采取數字簽名的方法，要么通過數字證書簽名，要么通過像md5的方式，這就需要SSO系統回傳免登URL的時候對需驗證的引數進行md5加密，并帶上token一起回傳，最后需免登的系統進行驗證信任關系的時候，需把這個token傳給SSO系統，SSO系統通過對token的驗證就可以辨別資訊是否被改過，
對于最后一個問題，可以通過白名單來處理，說簡單點只有在白名單上的系統才能請求生產信任關系，同理只有在白名單上的系統才能被免登錄，
轉載請註明出處，本文鏈接：https://www.uj5u.com/houduan/103746.html
標籤：PHP