共同父域下的单点登陆

版权声明：本文为博主原创文章，转载请注明出处http://blog.csdn.net/ghsau。

       本文来自：高爽|Coder，原文地址：http://blog.csdn.net/ghsau/article/details/20466351，转载请注明。
       单点登陆(Single Sign On)，简称为SSO，SSO不只在企业级开发很经常使用，在互联网中更是大行其道。随便举几个例子，好比咱们登陆新浪微博后，再访问新浪首页后，咱们发现，已经自动登陆了；再好比咱们登陆CSDN后，能够写博客、逛论坛、下载资源等等。前者是彻底跨域的单点登陆，下文会讲，后者是共同父域下(www.csdn.net、blog.csdn.net、bbs.csdn.net、passport.csdn.net)的单点登陆，也就是本文的主要内容。
       单点登陆其实是“身份认证”的整合，当咱们存在多个应用时，咱们但愿登陆了其中的一个应用，再访问其余应用时，会自动登陆，避免用户重复的体力劳动。单点登陆的实现原理是比较简单的，以下图所示，当用户经过浏览器第一次访问应用系统1时，因为尚未登陆，会被引导到认证系统进行登陆。下面开始单点登陆的过程：认证系统根据用户在浏览器中输入的登陆信息，进行身份认证，若是认证经过，返回给浏览器一个证实ticket(票)；用户再访问其它应用系统时，会带着ticket；应用系统接收到ticket后，会将其发送到认证系统进行合法性校验；校验经过后，用户就不须要再次输入用户名密码来登陆了，从而实现了单点登陆的功能。

       上面描述的过程其实是WEB-SSO。要实现SSO，首先必需要有统一的认证系统，其次每一个应用系统都经过认证系统来校验用户，因此这须要两方面的配合。WEB-SSO是比较好实现的，尤为是共同父域的状况下，咱们能够经过浏览器的cookie来保存ticket。今天我用Servlet技术实现了SSO的主要功能，能够在这里下载项目。

域名准备

       修改hosts文件，映射3个域名：

[html] view plain copy

 print?

1. 127.0.0.1 web1.ghsau.com  
2. 127.0.0.1 web2.ghsau.com  
3. 127.0.0.1 passport.ghsau.com  

       3个域名必须拥有共同父域(.ghsau.com)，web1和web2用于访问应用系统，passport用于访问认证系统。

 

项目部署

       项目中包含的是两个Eclipse Project，导入到Eclipse/MyEclipse后，可能须要设置下JavaEE类库。WebSSOAuth为认证系统，WebSSODemo为应用系统，若是映射的域名和我设置的同样，不须要设置，直接部署便可。若是不同，须要修改下两个项目的web.xml文件。关键配置信息以下：
       WebSSOAuth/WEB-INF/web.xml：

[html] view plain copy

 print?

1. <servlet>  
2.     <servlet-name>SSOAuth</servlet-name>  
3.     <servlet-class>com.ghsau.servlet.SSOAuth</servlet-class>  
4.     <init-param>  
5.       <!-- ticket名称 -->  
6.       <param-name>cookieName</param-name>  
7.       <param-value>SSOID</param-value>  
8.     </init-param>  
9.     <init-param>  
10.       <!-- ticket做用域 -->  
11.       <param-name>domainName</param-name>  
12.       <param-value>.ghsau.com</param-value>  
13.     </init-param>  
14.     <init-param>  
15.       <param-name>secure</param-name>  
16.       <param-value>false</param-value>  
17.     </init-param>  
18.     <init-param>  
19.       <!-- ticket内容加密密钥，必须为24个字符，中文算2个字符 -->  
20.       <param-name>secretKey</param-name>  
21.       <param-value>111111112222222233333333</param-value>  
22.     </init-param>  
23.     <init-param>  
24.       <!-- 服务器中ticket的有效期，单位分钟 -->  
25.       <param-name>ticketTimeout</param-name>  
26.       <param-value>10080</param-value>  
27.     </init-param>  
28.   </servlet>  
29.   <servlet-mapping>  
30.     <servlet-name>SSOAuth</servlet-name>  
31.     <url-pattern>/SSOAuth</url-pattern>  
32.   </servlet-mapping>  

       WebSSODemo/WEB-INF/web.xml：[html] view plain copy

 print?

1. <filter>  
2.     <filter-name>SSOAuth</filter-name>  
3.     <filter-class>com.ghsau.filter.SSOAuth</filter-class>  
4.     <init-param>  
5.         <!-- 认证系统服务 -->  
6.         <param-name>SSOService</param-name>  
7.         <param-value>http://passport.ghsau.com:8080/WebSSOAuth/SSOAuth</param-value>  
8.     </init-param>  
9.     <init-param>  
10.         <!-- 认证系统登陆页面 -->  
11.         <param-name>SSOLogin</param-name>  
12.         <param-value>http://passport.ghsau.com:8080/WebSSOAuth/login.jsp</param-value>  
13.     </init-param>  
14.     <init-param>  
15.         <!-- 认证系统ticket名称 -->  
16.         <param-name>cookieName</param-name>  
17.         <param-value>SSOID</param-value>  
18.     </init-param>  
19.   </filter>  
20.   <filter-mapping>  
21.     <filter-name>SSOAuth</filter-name>  
22.     <url-pattern>*.jsp</url-pattern>  
23.   </filter-mapping>  
24.   <filter-mapping>  
25.     <filter-name>SSOAuth</filter-name>  
26.     <url-pattern>/logout</url-pattern>  
27.   </filter-mapping>  

       若是域名或端口号和个人不一致，能够修改对应配置项。最后部署到应用服务器中，启动服务器。

 

SSO使用

       首先输入第一个应用系统的访问地址，http://web1.ghsau.com:8080/WebSSODemo/index.jsp，若是是第一次访问的话，会自动跳转到登陆页，以下图：

       系统中内置了3个用户，张3、李4、王五，用户名和密码皆为拼音全拼，输入zhangsan/zhangsan登陆后，会自动跳转到咱们刚才访问的页面，页面中显示了登陆的用户名及欢迎信息，以下图：

       这时，咱们再输入第二个应用系统的访问地址，http://web2.ghsau.com:8080/WebSSODemo/index.jsp，咱们发现，没有进行第二次登陆，一样页面中显示了登陆的用户名及欢迎信息，以下图：

       咱们接着点击Logout注销用户，页面跳转到了登陆页面，这时咱们再回头访问第一个应用系统的页面，发现一样跳转到了登陆页面。这给用户的使用效果就是，一个应用登陆了，其它的应用都会自动登陆，而一个应用中注销了，其它的应用也都会自动注销，好神奇的样子。
       项目中提供了源码，代码的实现思路就是上面的那个图，ticket保存在cookie中，利用cookie域的特性，实现了ticket在不一样应用中都可以获取到，ticket的验证过程是使用了HttpClient来发送的验证请求，ticket的加密使用了3DES，具体能够看DESUtils.Java，好了，就到这里吧，若是有什么问题，欢迎讨论。
       本文来自：高爽|Coder，原文地址：http://blog.csdn.net/ghsau/article/details/20466351，转载请注明。