程序员的自我救赎---3.2：SSO及应用案例

using System;
using System.Collections.Generic;
using System.Dynamic;
using System.Linq;
using System.Net;
using System.Web;
using System.Web.Mvc;
using System.Xml;
using Winner.Framework.MVC.Attribute;
using Winner.Framework.MVC.GlobalContext;
using Winner.Framework.MVC.Models;
using Winner.Framework.MVC.Models.Account;
using Winner.Framework.Utils;

namespace Winner.Framework.MVC
{
    /// <summary>
    /// PC Web用户登录检查
    /// </summary>
    public class AuthLoginAttribute : AuthorizationFilterAttribute
    {
        /// <summary>
        /// 实例化一个新的验证对象
        /// </summary>
        /// <param name="ignore">是否忽略检查</param>
        public AuthLoginAttribute(bool ignore = false)
            : base(ignore)
        {
        }

        /// <summary>
        /// 登录验证
        /// </summary>
        /// <param name="context">当前上下文</param>
        protected override bool OnAuthorizationing(AuthorizationContext context)
        {
            //Ajax请求但又未登陆时则返回信息
            if (!ApplicationContext.Current.IsLogined && base.ContextProvider.IsAjaxRequest)
            {
                OutputResult("未登陆或者会话已过时，请从新登陆！", 401);
                return false;
            }
            if (context.HttpContext.Session == null)
            {
                throw new Exception("服务器Session不可用！");
            }
            try
            {
                //调用提供者进行登录
                ProviderManager.LoginProvider.Login();
            }
            catch (Exception ex)
            {
                Log.Error(ex);
                if (ex.InnerException != null)
                {
                    Log.Error(ex.InnerException);
                }
                OutputResult("登录时出现系统繁忙，请稍后再试！", 401);
                return false;
            }


            //若是没有登录则返回
            if (!ApplicationContext.Current.IsLogined)
            {
                OutputResult("未登陆", 401);
                return false;
            }
            return true;
        }
    }
}

咱们看到一开始咱们有base(ignore)；这个我在前面的篇章中有讲到过，这个能够经过配置文件配置，目的是省去咱们每一个项目开发的时候都要去登陆。

在配置文件中默认一个登陆帐号，这样调试时候能省不少时间。

咱们判断的步骤是这样的：

第一步：若是用户是ajax请求，而且用户信息不存在的话直接返回false。这里是应对用户登陆以后用户长时间未操做形成用户信息过时失效

由于咱们的Winner框架基本都是Ajax请求，因此当两个条件都存在的时候就直接返回401错误。若是界面显示401则从新刷新一下，

由于刷新就不是Ajax了，因此就会跳到登陆页去登陆。

第二步：判断Session是否可用，不可用就直接抛异常了，就是我上面说的禁用Session这种状况。

第三步：在ProviderManager.LoginProvider.Login()，咱们才是作了具体的操做，咱们看一下Login()代码：

   public void Login()
        {
            //检查是否有SSO站点POST过来的用户退出数据
            string str = HttpContext.Current.Request.Url.Query;
            if (str.Contains("logout"))
            {
                //TODO：退出本地登录
                Logout();
                return;
            }
            //检查本地系统是否已登录
            if (ApplicationContext.Current.IsLogined)
                return;

            //判断是否有配置自动登录
            if (GlobalConfig.IsAutoLogin)
            {
                //代理登录配置文件所配置的用户
                var autoResult = ApplicationContext.UserLogin(GlobalConfig.DefaultAutoLoginUserId, true);
                if (!autoResult.Success)
                {
                    throw new Exception(autoResult.Message);
                }
                HttpCookie cookie = new HttpCookie("ticket");
                cookie.Value = GlobalConfig.DefaultAutoLoginToken;
                HttpContext.Current.Response.AppendCookie(cookie);
                return;
            }

            //若是没有Ticket直接跳转到SSO进行检查
            int userId;
            if (!ApplicationContext.GetNodeIdByTicket(out userId))
            {
                SSOLogin();
                return;
            }
            Log.Debug("user_id={0}", userId);
            //登录到本地系统
            var result = ApplicationContext.UserLogin(userId, false);
            if (!result.Success)
            {
                throw new Exception(result.Message);
            }
        }

  private void SSOLogin()
        {
            string service = HttpContext.Current.Request.Url.AbsoluteUri;
            service = Regex.Replace(service, @"\?ticket[^&]*.", "");
            string url = string.Concat(GlobalConfig.SSO_LoginURL, "?service=", HttpContext.Current.Server.UrlEncode(service));
            HttpContext.Current.Response.Redirect(url);
        }

这里ApplicationContext.Current.IsLogined为True的话，就是用户已经登陆过了，登陆过了就返回，IsLogined属性里面是判断了用户信息是否存在。

若是配置了自动登陆，则装载自动登陆的用户信息，从配置文件中读取。最后，上面判断都False的话，就跳到SSO系统去登陆获取ticket。

===================================华丽的分割线===========================

下面就是SSO系统作的事情，SSO最基本的职责就是登陆，首先就是登陆界面。根据用户填写的帐号密码判断用户是否注册，没有注册则注册。

说白了就是登陆注册流程。用户在SSO登陆成功以后则建立Session保存用户帐号，而后生成一个ticket字符串。每一个团队对于Ticket字符串的内容

都不太相同，可是大抵就是要请求界面的url，帐户号，受权码这些。

固然子系统判断URL中有ticket值的时候，就将Ticket 写入子项目的Session，其实咱们会有一个UserInfo的基础对象，这个Userinfo是一个用户信息的model。

这个是根据Ticket带过来用户帐户再到数据库查了一次的。

Jason重构一次SSO，方式上有点变更，更多的是采用Oauth2.0的方式。不清楚Oauth的能够看我上篇文章《理解Oauth2.0》。

这里我公开一下咱们SSO项目的源码，因此我就不一一的贴出来了。有兴趣的朋友能够本身看代码不懂的能够在QQ群里咨询。

SSO登陆中心GitHub下载地址：https://github.com/demon28/OAuth2.git

就写到这里。有兴趣一块儿探讨Winner框架的能够加咱们QQ群：261083244。或者扫描左侧二维码加群。