SSO单点登陆解决方案[转载]

http://www.blogjava.net/Jack2007/archive/2008/04/10/191795.html

1 什么是单点登录
      单点登陆（Single Sign On），简称为 SSO，是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中，用户只须要登陆一次就能够访问全部相互信任的应用系统。
      较大的企业内部，通常都有不少的业务支持系统为其提供相应的管理和IT服务。例如财务系统为财务人员提供财务的管理、计算和报表服务；人事系统为人事部门 提供全公司人员的维护服务；各类业务系统为公司内部不一样的业务提供不一样的服务等等。这些系统的目的都是让计算机来 进行复杂繁琐的计算工做，来替代人力的手 工劳动，提升工做效率和质量。这些不一样的系统每每是在不一样的时期建设起来的，运行在不一样的平台上；也许是由不一样厂商开发，使用了各类不一样的技术和标准。如 果举例说国内一著名的IT公司（名字隐去），内部共有60多个业务系统，这些系统包括两个不一样版本的SAP的ERP系统，12个不一样类型和版本的数据库系 统，8个不一样类型和版本的操做系统，以及使用了3种不一样的防火墙技术，还有数十种互相不能兼容的协议和标准，你相信吗？不要怀疑，这种状况其实很是广泛。 每个应用系统在运行了数年之后，都会成为不可替换的企业IT架构的一部分，以下图所示。

      随着企业的发展，业务系统的数量在不断的增长，老的系统却不能轻易的替换，这会带来不少的开销。其一是管理上的开销，须要维护的系统愈来愈多。不少系统的 数据是相互冗余和重复的，数据的不一致性会给管理工做带来很大的压力。业务和业务之间的相关性也愈来愈大，例如公司的计费系统和财务系统，财务系统和人事 系统之间都不可避免的有着密切的关系。

      为了下降管理的消耗，最大限度的重用已有投资的系统，不少企业都在进行着企业应用集成（EAI）。企业应用集成能够在不一样层面上进行：例如在数据存储层面 上的“数据大集中”，在传输层面上的“通用数据交换平台”，在应用层面上的“业务流程整合”，和用户界面上的“通用企业门户”等等。事实上，还用一个层面 上的集成变得愈来愈重要，那就是“身份认证”的整合，也就是“单点登陆”。

      一般来讲，每一个单独的系统都会有本身的安全体系和身份认证系统。整合之前，进入每一个系统都须要进行登陆，这样的局面不只给管理上带来了很大的困难，在安全方面也埋下了重大的隐患。下面是一些著名的调查公司显示的统计数据：

• 用户天天平均16分钟花在身份验证任务上 - 资料来源：IDS
• 频繁的IT用户平均有21个密码 - 资料来源：NTA Monitor Password Survey
• 49%的人写下了其密码，而67%的人不多改变它们
• 每79秒出现一块儿身份被窃事件 - 资料来源：National Small Business Travel Assoc
• 全球欺骗损失每一年约12B - 资料来源：Comm Fraud Control Assoc
• 到2007年，身份管理市场将成倍增加至$4.5B - 资料来源：IDS

      使用“单点登陆”整合后，只须要登陆一次就能够进入多个系统，而不须要从新登陆，这不只仅带来了更好的用户体验，更重要的是下降了安全的风险和管理的消耗。请看下面的统计数据：

• 提升IT效率：对于每1000个受管用户，每用户可节省$70K
• 帮助台呼叫减小至少1/3，对于10K员工的公司，每一年能够节省每用户$75，或者合计$648K
• 生产力提升：每一个新员工可节省$1K，每一个老员工可节省$350 - 资料来源：Giga
• ROI回报：7.5到13个月 - 资料来源：Gartner   

      另外，使用“单点登陆”仍是SOA时代的需求之一。在面向服务的架构中，服务和服务之间，程序和程序之间的通信大量存在，服务之间的安全认证是SOA应用的难点之一，应此创建“单点登陆”的系统体系可以大大简化SOA的安全问题，提升服务之间的合做效率。
   2 单点登录的技术实现机制
      随着SSO技术的流行，SSO的产品也是满天飞扬。全部著名的软件厂商都提供了相应的解决方案。在这里我并不想介绍本身公司（Sun Microsystems）的产品，而是对SSO技术自己进行解析，而且提供本身开发这一类产品的方法和简单演示。有关我写这篇文章的目的，请参考个人博 客（http://yuwang881.blog.sohu.com/3184816.html）。

      单点登陆的机制实际上是比较简单的，用一个现实中的例子作比较。颐和园是北京著名的旅游景点，也是我常去的地方。在颐和园内部有许多独立的景点，例如“苏州 街”、“佛香阁”和“德和园”，均可以在各个景点门口单独买票。不少游客须要游玩全部德景点，这种买票方式很不方便，须要在每一个景点门口排队买票，钱包拿 进拿出的，容易丢失，很不安全。因而绝大多数游客选择在大门口买一张通票（也叫套票），就能够玩遍全部的景点而不须要从新再买票。他们只须要在每一个景点门 口出示一下刚才买的套票就可以被容许进入每一个独立的景点。
      单点登陆的机制也同样，以下图所示，当用户第一次访问应用系统1的时候，由于尚未登陆，会被引导到认证系统中进行登陆（1）；根据用户提供的登陆信息， 认证系统进行身份效验，若是经过效验，应该返回给用户一个认证的凭据－－ticket（2）；用户再访问别的应用的时候（3，5）就会将这个ticket 带上，做为本身认证的凭据，应用系统接受到请求以后会把ticket送到认证系统进行效验，检查ticket的合法性（4，6）。若是经过效验，用户就可 以在不用再次登陆的状况下访问应用系统2和应用系统3了。
  
      从上面的视图能够看出，要实现SSO，须要如下主要的功能：

• 全部应用系统共享一个身份认证系统。
  统一的认证系统是SSO的前提之一。认证系统的主要功能是将用户的登陆信息和用户信息库相比较，对用户进行登陆认证；认证成功后，认证系统应该生成统一的认证标志（ticket），返还给用户。另外，认证系统还应该对ticket进行效验，判断其有效性。
• 全部应用系统可以识别和提取ticket信息
  要实现SSO的功能，让用户只登陆一次，就必须让应用系统可以识别已经登陆过的用户。应用系统应该能对ticket进行识别和提取，经过与认证系统的通信，能自动判断当前用户是否登陆过，从而完成单点登陆的功能。   

      上面的功能只是一个很是简单的SSO架构，在现实状况下的SSO有着更加复杂的结构。有两点须要指出的是：

• 单一的用户信息数据库并非必须的，有许多系统不能将全部的用户信息都集中存储，应该容许用户信息放置在不一样的存储中，以下图所示。事实上，只要统一认证系统，统一ticket的产生和效验，不管用户信息存储在什么地方，都能实现单点登陆。    

• 统一的认证系统并非说只有单个的认证服务器，以下图所示，整个系统能够存在两个以上的认证服务器，这些服务器甚至能够是不一样的产品。认 证服务器 之间要经过标准的通信协议，互相交换认证信息，就能完成更高级别的单点登陆。以下图，当用户在访问应用系统1时，由第一个认证服务器进行认证后，获得由此 服务器产生的ticket。当他访问应用系统4的时候，认证服务器2可以识别此ticket是由第一个服务器产生的，经过认证服务器之间标准的通信协议 （例如SAML）来交换认证信息，仍然可以完成SSO的功能。

     
    3 WEB-SSO的实现
      随着互联网的高速发展，WEB应用几乎统治了绝大部分的软件应用系统，所以WEB-SSO是SSO应用当中最为流行。WEB-SSO有其自身的特色和优 势，实现起来比较简单易用。不少商业软件和开源软件都有对WEB-SSO的实现。其中值得一提的是OpenSSO （https://opensso.dev.java.net），为用Java实现WEB-SSO提供架构指南和服务指南，为用户本身来实现WEB-SSO提供了理论的依据和实现的方法。  
      为何说WEB-SSO比较容易实现呢？这是有WEB应用自身的特色决定的。
      众所周知，Web协议（也就是HTTP）是一个无状态的协议。一个Web应用由不少个Web页面组成，每一个页面都有惟一的URL来定义。用户在浏览器的地 址栏输入页面的URL，浏览器就会向Web Server去 发送请求。以下图，浏览器向Web服务器发送了两个请求，申请了两个页面。这两个页面的请求是分别使用了两个单独的HTTP链接。所谓无状 态的协议也就是表如今这里，浏览器和Web服务器会在第一个请求完成之后关闭链接通道，在第二个请求的时候从新创建链接。Web服务器并不区分哪一个请求来 自哪一个客户端，对全部的请求都一视同仁，都是单独的链接。这样的方式大大区别于传统的（Client/Server）C/S结构,在那样的应用中，客户端 和服务器端会创建一个长时间的专用的链接通道。正是由于有了无状态的特性，每一个链接资源可以很快被其余客户端所重用，一台Web服务器才可以同时服务于成 千上万的客户端。

      可是咱们一般的应用是有状态的。先不用提不一样应用之间的SSO，在同一个应用中也须要保存用户的登陆身份信息。例如用户在访问页面1的时候进行了登陆，但 是刚才也提到，客户端的每一个请求都是单独的链接，当客户再次访问页面2的时候，如何才能告诉Web服务器，客户刚才已经登陆过了呢？浏览器和服务器之间有 约定：经过使用cookie技术来维护应用的状态。Cookie是能够被Web服务器设置的字符串，而且能够保存在浏览器中。以下图所示，当浏览器访问了 页面1时，web服务器设置了一个cookie，并将这个cookie和页面1一块儿返回给浏览器，浏览器接到cookie以后，就会保存起来，在它访问页 面2的时候会把这个cookie也带上，Web服务器接到请求时也能读出cookie的值，根据cookie值的内容就能够判断和恢复一些用户的信息状 态。

      Web-SSO彻底能够利用Cookie结束来完成用户登陆信息的保存，将浏览器中的Cookie和上文中的Ticket结合起来，完成SSO的功能。

      为了完成一个简单的SSO的功能，须要两个部分的合做：

• 统一的身份认证服务。
• 修改Web应用，使得每一个应用都经过这个统一的认证服务来进行身份效验。

   3.1 Web SSO 的样例
      根据上面的原理，我用J2EE的技术（JSP和Servlet）完成了一个具备Web-SSO的简单样例。样例包含一个身份认证的服务器和两个简单的 Web应用，使得这两个 Web应用经过统一的身份认证服务来完成Web-SSO的功能。此样例全部的源代码和二进制代码均可以从网站地址http://gceclub.sun.com.cn/wangyu/下载。

      样例下载、安装部署和运行指南：

• Web-SSO的样例是由三个标准Web应用组成，压缩成三个zip文件，从http://gceclub.sun.com.cn/wangyu/web-sso/中下载。其中SSOAuth（http://gceclub.sun.com.cn/wangyu/web-sso/SSOAuth.zip）是身份认证服务；SSOWebDemo1（http://gceclub.sun.com.cn/wangyu/web-sso/SSOWebDemo1.zip）和SSOWebDemo2（http://gceclub.sun.com.cn/wangyu/web-sso/SSOWebDemo2.zip） 是两个用来演示单点登陆的Web应用。这三个Web应用之因此没有打成war包，是由于它们不能直接部署，根据读者的部署环境须要做出小小的修改。样例部 署和运行的环境有必定的要求，须要符合Servlet2.3以上标准的J2EE容器才能运行（例如Tomcat5,Sun Application Server 8, Jboss 4等）。另外，身份认证服务须要JDK1.5的运行环境。之因此要用JDK1.5是由于笔者使用了一个线程安全的高性能的Java集合类 “ConcurrentMap”，只有在JDK1.5中才有。
• 这三个Web应用彻底能够单独部署，它们能够分别部署在 不一样的机器，不一样的操做系统和不一样的J2EE的产品上，它们彻底是标准的和平台无关的应用。可是有一个限制，那两台部署应用（demo一、demo2）的 机器的域名须要相同，这在后面的章节中会解释到cookie和domain的关系以及如何制做跨域的WEB-SSO
  解压缩SSOAuth.zip文件，在/WEB-INF/下的web.xml中请修改“domainname”的属性以反映实际的应用部署状况， domainname须要设置为两个单点登陆的应用（demo1和demo2）所属的域名。这个domainname和当前SSOAuth服务部署的机器 的域名没有关系。我缺省设置的是“.sun.com”。若是你部署demo1和demo2的机器没有域名，请输入IP地址或主机名（如 localhost），可是若是使用IP地址或主机名也就意味着demo1和demo2须要部署到一台机器上了。设置完后，根据你所选择的J2EE容器， 可能须要将SSOAuth这个目录压缩打包成war文件。用“jar -cvf SSOAuth.war SSOAuth/”就能够完成这个功能。
• 解压缩SSOWebDemo1和SSOWebDemo2文件，分别在它们/WEB-INF/下找到web.xml文件，请修改其中的几个初始化参数

<init-param>
<param-name>SSOServiceURL</param-name>
<param-value>http://wangyu.prc.sun.com:8080/SSOAuth/SSOAuth</param-value>
</init-param>
<init-param>
<param-name>SSOLoginPage</param-name>
<param-value>http://wangyu.prc.sun.com:8080/SSOAuth/login.jsp</param-value>
</init-param>

• 将其中的SSOServiceURL和SSOLoginPage修改为部署SSOAuth应用的机器名、端口号以及根路径（缺省是 SSOAuth）以反映实际的部署状况。设置完后，根据你所选择的J2EE容器，可能须要将SSOWebDemo1和SSOWebDemo2这两个目录压 缩打包成两个war文件。用“jar -cvf SSOWebDemo1.war SSOWebDemo1/”就能够完成这个功能。
• 请输入第一个web应用的测试URL（test.jsp）,例如http://wangyu.prc.sun.com:8080/SSOWebDemo1/test.jsp，若是是第一次访问，便会自动跳转到登陆界面，以下图。

• 使用系统自带的三个账号之一登陆（例如，用户名：wangyu,密码：wangyu），便能成功的看到test.jsp的内容：显示当前用户名和欢迎信息。

• 请接着在同一个浏览器中输入第二个web应用的测试URL（test.jsp）,例如http://wangyu.prc.sun.com:8080/SSOWebDemo2/test.jsp。你会发现，不须要再次登陆就能看到test.jsp的内容，一样是显示当前用户名和欢迎信息，并且欢迎信息中明确的显示当前的应用名称（demo2）。   

   3.2 WEB-SSO代码讲解
      3.2.1身份认证服务代码解析
      Web-SSO的源代码能够从网站地址http://gceclub.sun.com.cn/wangyu/web-sso/websso_src.zip下 载。身份认证服务是一个标准的web应用，包括一个名为SSOAuth的Servlet，一个login.jsp文件和一个failed.html。身份 认证的全部服务几乎都由SSOAuth的Servlet来实现了；login.jsp用来显示登陆的页面（若是发现用户尚未登陆过）； failed.html是用来显示登陆失败的信息（若是用户的用户名和密码与信息数据库中的不同）。
  
      SSOAuth的代码以下面的列表显示，结构很是简单，先看看这个Servlet的主体部分：
package DesktopSSO;

import java.io.*;
import java.net.*;
import java.text.*;
import java.util.*;
import java.util.concurrent.*;

import javax.servlet.*;
import javax.servlet.http.*;


public class SSOAuth extends HttpServlet {
    
      static private ConcurrentMap accounts;
      static private ConcurrentMap SSOIDs;
      String cookiename="WangYuDesktopSSOID";
      String domainname;
    
      public void init(ServletConfig config) throws ServletException {
          super.init(config);
          domainname= config.getInitParameter("domainname");
          cookiename = config.getInitParameter("cookiename");
          SSOIDs = new ConcurrentHashMap();
          accounts=new ConcurrentHashMap();
          accounts.put("wangyu", "wangyu");
          accounts.put("paul", "paul");
          accounts.put("carol", "carol");
      }

      protected void processRequest(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
          PrintWriter ut = response.getWriter();
          String action = request.getParameter("action");
          String result="failed";
          if (action==null) {
              handlerFromLogin(request,response);
          } else if (action.equals("authcookie")){
              String myCookie = request.getParameter("cookiename");
              if (myCookie != null) result = authCookie(myCookie);
              out.print(result);
              out.close();
          } else if (action.equals("authuser")) {
             result=authNameAndPasswd(request,response);
              out.print(result);
              out.close();
          } else if (action.equals("logout")) {
              String myCookie = request.getParameter("cookiename");
              logout(myCookie);
              out.close();
          }
      }

.....

}

      从代码很容易看出，SSOAuth就是一个简单的Servlet。其中有两个静态成员变量：accounts和SSOIDs，这两个成员变量都使用了 JDK1.5中线程安全的MAP类： ConcurrentMap，因此这个样例必定要JDK1.5才能运行。Accounts用来存放用户的用户名和密码，在init()的方法中能够看到我 给系统添加了三个合法的用户。在实际应用中，accounts应该是去数据库中或LDAP中得到，为了简单起见，在本样例中我使用了 ConcurrentMap在内存中用程序建立了三个用户。而SSOIDs保存了在用户成功的登陆后所产生的cookie和用户名的对应关系。它的功能显 而易见：当用户成功登陆之后，再次访问别的系统，为了鉴别这个用户请求所带的cookie的有效性，须要到SSOIDs中检查这样的映射关系是否存在。

      在主要的请求处理方法processRequest()中，能够很清楚的看到SSOAuth的全部功能。

• 若是用户尚未登陆过，是第一次登陆本系统，会被跳转到login.jsp页面（在后面会解释如何跳转）。用户在提供了用户名和密码之后，就会用handlerFromLogin()这个方法来验证。
• 若是用户已经登陆过本系统，再访问别的应用的时候，是不须要再次登陆的。由于浏览器会将第一次登陆时产生的cookie和请求一块儿发送。效验cookie的有效性是SSOAuth的主要功能之一。
• SSOAuth还能直接效验非login.jsp页面过来的用户名和密码的效验请求。这个功能是用于非web应用的SSO，这在后面的桌面SSO中会用到。
• SSOAuth还提供logout服务。   

      下面看看几个主要的功能函数：
private void handlerFromLogin(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
          String username = request.getParameter("username");
          String password = request.getParameter("password");
          String pass = (String)accounts.get(username);
          if ((pass==null)||(!pass.equals(password)))
              getServletContext().getRequestDispatcher("/failed.html").forward(request, response);
          else {
              String gotoURL = request.getParameter("goto");
              String newID = createUID();
              SSOIDs.put(newID, username);
              Cookie wangyu = new Cookie(cookiename, newID);
              wangyu.setDomain(domainname);
              wangyu.setMaxAge(60000);
              wangyu.setValue(newID);
              wangyu.setPath("/");
              response.addCookie(wangyu);
              System.out.println("login success, goto back url:" + gotoURL);
              if (gotoURL != null) {
                  PrintWriter ut = response.getWriter();
                  response.sendRedirect(gotoURL);
                  out.close();
              }
          }   
      }
      handlerFromLogin()这个方法是用来处理来自login.jsp的登陆请求。它的逻辑很简单：将用户输入的用户名和密码与预先设定好的用 户集合（存放在accounts中）相比较，若是用户名或密码不匹配的话，则返回登陆失败的页面（failed.html），若是登陆成功的话，须要为用 户当前的session建立一个新的ID，并将这个ID和用户名的映射关系存放到SSOIDs中，最后还要将这个ID设置为浏览器可以保存的cookie 值。
      登陆成功后，浏览器会到哪一个页面呢？那咱们回顾一下咱们是如何使用身份认证服务的。通常来讲咱们不会直接访问身份服务的任何URL，包括 login.jsp。身份服务是用来保护其余应用服务的，用户通常在访问一个受SSOAuth保护的Web应用的某个URL时，当前这个应用会发现当前的 用户尚未登陆，便强制将也页面转向SSOAuth的login.jsp，让用户登陆。若是登陆成功后，应该自动的将用户的浏览器指向用户最初想访问的那 个URL。在handlerFromLogin()这个方法中，咱们经过接收“goto”这个参数来保存用户最初访问的URL，成功后便从新定向到这个页 面中。
      另一个要说明的是，在设置cookie的时候，我使用了一个setMaxAge(6000)的方法。这个方法是用来设置cookie的有效期，单位是 秒。若是不使用这个方法或者参数为负数的话，当浏览器关闭的时候，这个cookie就失效了。在这里我给了很大的值（1000分钟），致使的行为是：当你 关闭浏览器（或者关机），下次再打开浏览器访问刚才的应用，只要在1000分钟以内，就不须要再登陆了。我这样作是下面要介绍的桌面SSO中所须要的功 能。
      其余的方法更加简单，这里就很少解释了。

3.2.2具备SSO功能的web应用源代码解析         要实现WEB-SSO的功能，只有身份认证服务是不够的。这点很显然，要想使多个应用具备单点登陆的功能，还须要每一个应用自己的配合：将本身的身份认证的 服务交给一个统一的身份认证服务－SSOAuth。SSOAuth服务中提供的各个方法就是供每一个加入SSO的Web应用来调用的。
























再转载点内容：

昨天和几位朋友探讨到了这个话题，发现虽然单点登陆，或者叫作独立的passport登陆虽然已经有了不少实现方法，可是能真正了解并实现的人却并不太多，因此些下此文，但愿从原理到实现，能让你们了解的多一些

至于什么是单点登陆，举个例子，若是你登陆了msn messenger，访问hotmail邮件就不用在此登陆。
通常单点登陆都须要有一个独立的登陆站点,通常具备独立的域名，专门的进行注册，登陆，注销等操做

咱们为了讨论方便，把这个登陆站点叫作站点P，设其Url为http://passport.yizhu2000.com，须要提供服务的站点设为A和B，跨站点单点登陆是指你在A网站进行登陆后，使用B网站的服务就不须要再登陆

从技术角度讲单点登陆分为：

• 跨子域单点登陆
• 彻底跨单点域登陆

跨子域单点登陆

所谓跨子域登陆，A，B站点和P站点位于同一个域下面，好比A站点为http://blog.yizhu2000.com     B站点为 http://forum.yizhu2000.com,他们和登陆站点P的关系能够看到，都是属于同一个父域，yizhu2000.com,不一样的是子域不一样，一个为blog，一个为forum，一个是passport

咱们先看看最经常使用的非跨站点普通登陆的状况，通常登陆验证经过后，通常会将你的用户名和一些用户信息，经过某一密钥进行加密，写在本地，也就是一个加密的cookie，咱们把这个cookie叫作--票（ticket）。

须要判断用户是否登陆的页面，须要读取这个ticket，并从其中解密出用户信息，若是ticket不存在，或者没法解密，意味着用户没有登陆，或 者登陆信息不正确，这时就要跳转到登陆页面进行登陆，在这里加密的做用有两个，一是防止用户信息被不怀好意者看到，二是保证ticket不会被伪造，后者 其实更为重要，加密后，各个应用须要采用与加密一样的密钥进行解密，若是不知道密钥，就不能伪造出ticket，

（注：加密和解密的密钥有可能不一样，取决于采用什么加密算法，若是是对称加密，则为同一密钥，若是是非对称，就不一样了，通常用私钥加密，公钥解密，可是不管怎样，密钥都只有内部知道，这样伪造者既没法伪造也没法解密ticket）

跨子域的单点登陆，和上述普通登陆的过程没有什么不一样，惟一不一样的是写cookie时，因为登陆站点P和应用A处于不一样的子域，P站写入的 cookie的域为passport.yizhu2000.net，而A站点为forum.yizhu2000.net，A在判断用户登陆时没法读到P站 点的ticket

解决方法很是简单，当Login完成后P站点写ticket的时候，只需把cookie的域设为他们共同的父域，yizhu2000.net就能够了：cookie.domain="yizhu2000.net"，A站点天然就能够读到这个ticket了

ASP。Net的form验证自己实现了这个机制，你们能够参考http://blog.csdn.net/octverve/archive/2007/09/22/1796338.aspx

ASP.NET身份验证信息跨域共享状态

在ASP.NET 2.0 中只需修改web.config文件便可，修改方法以下:

<authentication mode="Forms">
<forms name=".ASPNETFORM"   domain="imneio.com" loginUrl="/login.aspx" defaultUrl="/default.aspx" protection="All" timeout="30" path="/" requireSSL="false" slidingExpiration="true" enableCrossAppRedirects="false" cookieless="UseDeviceProfile" />
</authentication>

domain指定了cookie保存的域，只要保存的是 abc.com形式或者.abc.com的形式，那么其二级域名均可以共享此cookie。

此外，web.config标签中的<sessionState >也作相应修改，mode改成StateServer或者SqlServer，那么里面的session信息也就所有能够共享了。

StateServer须要在服务中开启“asp.net状态服务”的服务。

http://www.imneio.com/2007/11/17/aspnetnote1/，以上斜体内容摘自此连接

彻底跨单点域登陆

彻底跨域登陆，是指A，B站点和P站点没有共同的父域，好比A站点为forum.yizhu1999.net,B站点为blog.yizhu1998.net，你们能够参考微软旗下的几个站点http://www.live.com，www.hotmail.com,这两个站点就没有共同的父域，而仍然能够共用登陆，怎样才能实现呢？请参考下图，因为这种状况ticket比较复杂，咱们暂时把P站点建立的的ticket叫作P-ticket，而A站点建立的ticket叫A-ticket，B的为B-ticket

 

因为站点A（forum.yizhu1999.com）不能读取到由站点P（passport.yizhu2000.com）建立的加密 ticket，因此当用户访问A站点上须要登陆才能访问的资源时，A站点会首先查看是否有A-ticket，若是没有，证实用户没有在A站点登陆过，不过 并不保证用户没有在B站点登陆，（重复一下，既然是单点登陆，固然不管你在A，B任意一个站点登陆过，另一个站点都要能够访问），请求会被重定向到p站 点的验证页面，验证页面读取P-ticket，若是没有，或者解密不成功，就须要重定向登陆页面，登陆页面完成登陆后，写一个加密cookie，也就是 P-ticket，而且重定向到A站点的登陆处理页，并把加密的用户信息做为参数传递给这个页面，这个页面接收登陆页的用户信息，解密后也要写一个 cookie，也就是A-ticket，从此用户再次访问A站点上须要登陆权限才能访问的资源时，只须要检查这个A-cookie是否存在就能够了

当用户访问B站点时，会重复上面的过程，监测到没有B-ticket，就会重定向到P站点的验证页面，去检查P-ticket，若是没有，就登陆，有则返回B的登陆处理页面写B-ticket

 

注销的时候须要删除P-ticket和A-ticket

 

 

怎么删除cookie：原本觉得这个不是问题，不过仍是有朋友问道，简单的说实际上是建立一个和你要删除的cookie同名的cookie，并把 cookie的expire设为当前时间以前的某个时间，不过在跨子域的删除cookie时有一点要注意：必需要把cookie的域设置为父域，在本文中 为yizhu2000.com

为了保证各个环节的传输的安全性，最好使用https链接