基於sso的web系統怎麽實現權限管理

單點登錄SSO（Single Sign On）說得簡單點就是在壹個多系統***存的環境下，用戶在壹處登錄後，就不用在其他系統中登錄，也就是用戶的壹次登錄能得到其他所有系統的信任。單點登錄在大型網站裏使用得非常頻繁，例如像阿裏巴巴這樣的網站，在網站的背後是成百上千的子系統，用戶壹次操作或交易可能涉及到幾十個子系統的協作，如果每個子系統都需要用戶認證，不僅用戶會瘋掉，各子系統也會為這種重復認證授權的邏輯搞瘋掉。實現單點登錄說到底就是要解決如何產生和存儲那個信任，再就是其他系統如何驗證這個信任的有效性，因此要點也就以下幾個：存儲信任 驗證信任 只要解決了以上的問題，達到了開頭講得效果就可以說是SSO。最簡單實現SSO的方法就是用Cookie，實現流程如下所示：常用的兩種web單點登錄SSO的實現原理X不然發現以上的方案是把信任存儲在客戶端的Cookie裏，這種方法雖然實現方便但立馬會讓人質疑兩個問題：Cookie不安全 不能跨域免登 對於第壹個問題壹般都是通過加密Cookie來處理，第二個問題是硬傷，其實這種方案的思路的就是要把這個信任關系存儲在客戶端，要實現這個也不壹定只能用Cookie，用flash也能解決，flash的Shared Object API就提供了存儲能力。壹般說來，大型系統會采取在服務端存儲信任關系的做法，實現流程如下所示：常用的兩種web單點登錄SSO的實現原理以上方案就是要把信任關系存儲在單獨的 SSO系統（暫且這麽稱呼它）裏，說起來只是簡單地從客戶端移到了服務端，但其中幾個問題需要重點解決：如何高效存儲大量臨時性的信任數據 如何防止信息傳遞過程被篡改 如何讓SSO系統信任登錄系統和免登系統 對於第壹個問題，壹般可以采用類似與memcached的分布式緩存的方案， 既能提供可擴展數據量的機制，也能提供高效訪問。對於第二個問題，壹般采取數字簽名的方法，要麽通過數字證書簽名，要麽通過像md5的方式，這就需要SSO系統返回免登URL的時候對需驗證的參數進行md5加密，並帶上token壹起返回，最後需免登的系統進行驗證信任關系的時候，需把這個token傳給SSO系統，SSO系統通過對token的驗證就可以辨別信息是否被改過。對於最後壹個問題，可以通過白名單來處理，說簡單點只有在白名單上的系統才能請求生產信任關系，同理只有在白名單上的系統才能被免登錄。通過第二種方案的演變，可以使用發放票據的方式實現websso登錄：常用的兩種web單點登錄SSO的實現原理通過第三種方式，客戶端只做票據的發放和獲取，不涉及用戶信息傳輸，用戶信息均可交給子系統和SSO系統之間處理，更有效保護用戶隱私。以上只是提供了些簡單的實現技術，但需要強調的是這只是技術實現而已，僅僅是為了解決上面談到的壹些問題，SSO本身來說並不是什麽高科技，有了這個認識比較有利於我們深入探索SSO