Single Sign On，單點登錄

SSO

　　SSO英文全稱Single Sign On，單點登錄。SSO是在多個應用系統中，用戶只需要登錄一次就可以訪問所有相互信任的應用系統。它包括可以將這次主要的登錄映射到其他應用中用於同一個用戶的登錄的機制。它是目前比較流行的企業業務整合的解決方案之一。

　　SSO技術實現機制

　　當用戶第一次訪問應用系統1的時候，因爲還沒有登錄，會被引導到認證系統中進行登錄；根據用戶提供的登錄信息，認證系統進行身份效驗，如果通過效驗，應該返回給用戶一個認證的憑據－－ticket；用戶再訪問別的應用的時候就會將這個ticket帶上，作爲自己認證的憑據，應用系統接受到請求之後會把ticket送到認證系統進行效驗，檢查ticket的合法性。如果通過效驗，用戶就可以在不用再次登錄的情況下訪問應用系統2和應用系統3了。

　　要實現SSO，需要以下主要的功能：

　　1、所有應用系統共享一個身份認證系統。

　　統一的認證系統是SSO的前提之一。認證系統的主要功能是將用戶的登錄信息和用戶信息庫相比較，對用戶進行登錄認證；認證成功後，認證系統應該生成統一的認證標誌（ticket），返還給用戶。另外，認證系統還應該對ticket進行效驗，判斷其有效性。

　　2、所有應用系統能夠識別和提取ticket信息

　　要實現SSO的功能，讓用戶只登錄一次，就必須讓應用系統能夠識別已經登錄過的用戶。應用系統應該能對ticket進行識別和提取，通過與認證系統的通訊，能自動判斷當前用戶是否登錄過，從而完成單點登錄的功能。

　　另外：

　　1、單一的用戶信息數據庫並不是必須的，有許多系統不能將所有的用戶信息都集中存儲，應該允許用戶信息放置在不同的存儲中，如下圖所示。事實上，只要統一認證系統，統一ticket的產生和效驗，無論用戶信息存儲在什麼地方，都能實現單點登錄。

　　2、統一的認證系統並不是說只有單個的認證服務器

　　認證服務器之間要通過標準的通訊協議，互相交換認證信息，就能完成更高級別的單點登錄。如：當用戶在訪問應用系統1時，由第一個認證服務器進行認證後，得到由此服務器產生的ticket。當他訪問應用系統2的時候，認證服務器2能夠識別此ticket是由第一個服務器產生的，通過認證服務器之間標準的通訊協議（例如SAML）來交換認證信息，仍然能夠完成SSO的功能。

　　WEB-SSO的實現

　　用戶在訪問頁面1的時候進行了登錄，但是客戶端的每個請求都是單獨的連接，當客戶再次訪問頁面2的時候，如何才能告訴Web服務器，客戶剛纔已經登錄過了呢？瀏覽器和服務器之間有約定：通過使用cookie技術來維護應用的狀態。Cookie是可以被Web服務器設置的字符串，並且可以保存在瀏覽器中。當瀏覽器訪問了頁面1時，web服務器設置了一個cookie，並將這個cookie和頁面1一起返回給瀏覽器，瀏覽器接到cookie之後，就會保存起來，在它訪問頁面2的時候會把這個cookie也帶上，Web服務器接到請求時也能讀出cookie的值，根據cookie值的內容就可以判斷和恢復一些用戶的信息狀態。Web-SSO完全可以利用Cookie結束來完成用戶登錄信息的保存，將瀏覽器中的Cookie和上文中的Ticket結合起來，完成SSO的功能。

　　爲了完成一個簡單的SSO的功能，需要兩個部分的合作：

　　1、統一的身份認證服務。

　　2、修改Web應用，使得每個應用都通過這個統一的認證服務來進行身份效驗。