澳门皇冠金沙网站-澳门皇冠844网站

热门关键词: 澳门皇冠金沙网站,澳门皇冠844网站

单点登录SSO的实现原理,实现单点登录

  1. 如果自定义了UserContext,则可将集合改成Collection<UserContext> users;

  2. UserContext.java

为什么说WEB-SSO比较容易实现呢?这是有WEB应用自身的特点决定的。

public String execute() throws Exception {    取session // 也可以在UserContext内部取session。    UserContext user = new UserContext();    user.setSession;    if (user.login(userName, password)) {        UserContext uc = loginManager.login;        if  uc.getSession().invalidate();    }}

以上只是提供了些简单的实现技术,但需要强调的是这只是技术实现而已,仅仅是为了解决上面谈到的一些问题,SSO本身来说并不是什么高科技,有了这个认识比较有利于我们深入探索SSO

web.xml部署于/App/WEB-INF下

  • 提高 IT 效率:对于每 1000 个受管用户,每用户可节省$70K
  • 帮助台呼叫减少至少1/3,对于 10K 员工的公司,每年可以节省每用户 $75,或者合计 $648K
  • 生产力提高:每个新员工可节省 $1K,每个老员工可节省 $350 �*资料来源:Giga*
  • ROI 回报:7.5 到 13 个月 �资料来源:Gartner

图片 1

 

  1. LoginAction.java

上面的功能只是一个非常简单的SSO架构,在现实情况下的SSO有着更加复杂的结构。有两点需要指出的是:

  1. LoginManager.java

 图片 2

图片 3

转: 谢!

图片 4

  • 用户每天平均 16 分钟花在身份验证任务上 - *资料来源: IDS*
  • 频繁的 IT 用户平均有 21 个密码 - *资料来源: NTA Monitor Password Survey*
  • 49% 的人写下了其密码,而 67% 的人很少改变它们
  • 每 79 秒出现一起身份被窃事件 - *资料来源:National Small Business Travel Assoc*
  • 全球欺骗损失每年约 12B - *资料来源:Comm Fraud Control Assoc*
  • 到 2007 年,身份管理市场将成倍增长至 $4.5B - *资料来源:IDS*

图片 5

单点登录(Single Sign On),简称为 SSO,是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中,用户只需要登录一次就可以访问所有相互信任的应用系统。

采用SSH架构加以说明:
1.建立一个登录管理类LoginManager
2.在LoginManager中定义一个集合,管理登录的用户。
3.在Spring中将LoginManager配置成单例
4.如果使用自定义的用户管理类,则为了说明方便,将此类命名为UserContext(表示用户授权的上下文)
5.如果未使用自定义的用户管理类,则直接使用Session。
6.在登录授权对象中,检查用户是否是合法用户,如果是合法用户,则在LoginManager的集合中查找用户是否已经在线,如果不在线,则将用户加入集合。
7.处理策略一:如果用户已经在线,则取新登录用户的Session,将它失效,则能阻止新登录用户登录。
8.处理策略二:如果用户已经在线,则取出在线用户的Session,将它失效,再把新登录用户加入LoginManager的集合。则先登录用户不能执行有权限的操作,只能重新登录。

单点登录的机制也一样,如下图所示,当用户第一次访问应用系统1的时候,因为还没有登录,会被引导到认证系统中进行登录(1);根据用户提供的登录信息,认证系统进行身份效验,如果通过效验,应该返回给用户一个认证的凭据--ticket(2);用户再访问别的应用的时候(3,5)就会将这个ticket带上,作为自己认证的凭据,应用系统接受到请求之后会把ticket送到认证系统进行效验,检查ticket的合法性(4,6)。如果通过效验,用户就可以在不用再次登录的情况下访问应用系统2和应用系统3了。

图片 6

只要解决了以上的问题,达到了开头讲得效果就可以说是SSO。最简单实现SSO的方法就是用Cookie,实现流程如下所示:

  • 所有应用系统共享一个身份认证系统。
    统一的认证系统是SSO的前提之一。认证系统的主要功能是将用户的登录信息和用户信息库相比较,对用户进行登录认证;认证成功后,认证系统应该生成统一的认证标志,返还给用户。另外,认证系统还应该对ticket进行效验,判断其有效性。
  • 所有应用系统能够识别和提取ticket信息
    要实现SSO的功能,让用户只登录一次,就必须让应用系统能够识别已经登录过的用户。应用系统应该能对ticket进行识别和提取,通过与认证系统的通讯,能自动判断当前用户是否登录过,从而完成单点登录的功能。

 

图片 7

图片 8

  1. 统一的身份认证服务。
  2. 修改Web应用,使得每个应用都通过这个统一的认证服务来进行身份效验。

单点登录SSO(Single Sign On)说得简单点就是在一个多系统共存的环境下,用户在一处登录后,就不用在其他系统中登录,也就是用户的一次登录能得到其他所有系统的信任。单点登录在大型网站里使用得非常频繁,例如像阿里巴巴这样的网站,在网站的背后是成百上千的子系统,用户一次操作或交易可能涉及到几十个子系统的协作,如果每个子系统都需要用户认证,不仅用户会疯掉,各子系统也会为这种重复认证授权的逻辑搞疯掉。实现单点登录说到底就是要解决如何产生和存储那个信任,再就是其他系统如何验证这个信任的有效性,因此要点也就以下几个:

LoginManager loginManager;public String execute() throws Exception {    取session    检查用户名,密码    if  {        session = loginManager.login;        if (null!=session) session.invalidate();    }}

通常来说,每个单独的系统都会有自己的安全体系和身份认证系统。整合以前,进入每个系统都需要进行登录,这样的局面不仅给管理上带来了很大的困难,在安全方面也埋下了重大的隐患。下面是一些著名的调查公司显示的统计数据:

Collection<Session> sessions;public Session login(Session session) {    for (Session s : sessions) {        if (s 与 session 是同一用户)            策略一: return session            策略二:{                sessions.add; // 这两行在循环中操作集合类会抛出异常                sessions.remove;    // 此处仅为简单示范代码,实际代码中应该在循环外处理                return s;            }    }    sessions.add;    return null;}

一般说来,大型系统会采取在服务端存储信任关系的做法,实现流程如下所示:

另外,使用“单点登录”还是SOA时代的需求之一。在面向服务的架构中,服务和服务之间,程序和程序之间的通讯大量存在,服务之间的安全认证是SOA应用的难点之一,应此建立“单点登录”的系统体系能够大大简化SOA的安全问题,提高服务之间的合作效率。*2单点登陆的技术实现机制***随着SSO技术的流行,SSO的产品也是满天飞扬。所有著名的软件厂商都提供了相应的解决方案。在这里我并不想介绍自己公司(Sun Microsystems)的产品,而是对SSO技术本身进行解析,并且提供自己开发这一类产品的方法和简单演示。颐和园是北京著名的旅游景点,也是我常去的地方。在颐和园内部有许多独立的景点,例如“苏州街”、“佛香阁”和“德和园”,都可以在各个景点门口单独买票。很多游客需要游玩所有德景点,这种买票方式很不方便,需要在每个景点门口排队买票,钱包拿进拿出的,容易丢失,很不安全。于是绝大多数游客选择在大门口买一张通票,就可以玩遍所有的景点而不需要重新再买票。他们只需要在每个景点门口出示一下刚才买的套票就能够被允许进入每个独立的景点。单点登录的机制也一样,如下图所示,当用户第一次访问应用系统1的时候,因为还没有登录,会被引导到认证系统中进行登录;根据用户提供的登录信息,认证系统进行身份效验,如果通过效验,应该返回给用户一个认证的凭据--ticket;用户再访问别的应用的时候就会将这个ticket带上,作为自己认证的凭据,应用系统接受到请求之后会把ticket送到认证系统进行效验,检查ticket的合法性。如果通过效验,用户就可以在不用再次登录的情况下访问应用系统2和应用系统3了。图片 9从上面的视图可以看出,要实现SSO,需要以下主要的功能:

2 单点登陆的技术实现机制

  1. 修改LoginAction.java

以上方案就是要把信任关系存储在单独的SSO系统(暂且这么称呼它)里,说起来只是简单地从客户端移到了服务端,但其中几个问题需要重点解决:

  • 提高IT效率:对于每1000个受管用户,每用户可节省$70K
  • 帮助台呼叫减少至少1/3,对于10K员工的公司,每年可以节省每用户$75,或者合计$648K
  • 生产力提高:每个新员工可节省$1K,每个老员工可节省$350�*资料来源:Giga*
  • ROI回报:7.513个月�资料来源:Gartner

Web-SSO完全可以利用Cookie结束来完成用户登录信息的保存,将浏览器中的Cookie和上文中的Ticket结合起来,完成SSO的功能。

图片 10

1 什么是单点登陆

HalfWater的博客

对于第一个问题一般都是通过加密Cookie来处理,第二个问题是硬伤,其实这种方案的思路的就是要把这个信任关系存储在客户端,要实现这个也不一定只能用Cookie,用flash也能解决,flash的Shared Object API就提供了存储能力。

图片 11

 

*1什么是单点登陆***

 

  • 用户每天平均16分钟花在身份验证任务上-*资料来源: IDS*
  • 频繁的IT用户平均有21个密码-*资料来源: NTA Monitor Password Survey*
  • 49%的人写下了其密码,而67%的人很少改变它们
  • 79秒出现一起身份被窃事件-*资料来源:National Small Business Travel Assoc*
  • 全球欺骗损失每年约12B -*资料来源:Comm Fraud Control Assoc*
  • 2007年,身份管理市场将成倍增长至$4.5B -*资料来源:IDS*

对于第一个问题,一般可以采用类似与memcached的分布式缓存的方案,既能提供可扩展数据量的机制,也能提供高效访问。对于第二个问题,一般采取数字签名的方法,要么通过数字证书签名,要么通过像md5的方式,这就需要SSO系统返回免登URL的时候对需验证的参数进行md5加密,并带上token一起返回,最后需免登的系统进行验证信任关系的时候,需把这个token传给SSO系统,SSO系统通过对token的验证就可以辨别信息是否被改过。对于最后一个问题,可以通过白名单来处理,说简单点只有在白名单上的系统才能请求生产信任关系,同理只有在白名单上的系统才能被免登录。

1. applicationContext.xml

<bean   scope="singleton" /><bean   scopt="prototype" >    <property name="laginManager" ref="loginManager" /></bean>

从上面的视图可以看出,要实现SSO,需要以下主要的功能:

图片 12

图片 13

package com.ll.singlelogin;      import javax.servlet.http.*;  import java.util.*;      public class SingleLogin implements HttpSessionListener {          // 保存sessionID和username的映射      private static HashMap hUserName = new HashMap();          /** 以下是实现HttpSessionListener中的方法* */      public void sessionCreated(HttpSessionEvent se) {      }          public void sessionDestroyed(HttpSessionEvent se) {          hUserName.remove(se.getSession);      }          /**      * isAlreadyEnter-用于判断用户是否已经登录以及相应的处理方法      *       * @param sUserName      *            String-登录的用户名称      * @return boolean-该用户是否已经登录过的标志      */      public static boolean isAlreadyEnter(HttpSession session, String sUserName) {          boolean flag = false;          // 如果该用户已经登录过,则使上次登录的用户掉线(依据使用户名是否在hUserName中)          if (hUserName.containsValue(sUserName)) {              flag = true;              // 遍历原来的hUserName,删除原用户名对应的sessionID(即删除原来的sessionID和username)              Iterator iter = hUserName.entrySet().iterator();              while (iter.hasNext {                  Map.Entry entry = (Map.Entry) iter.next();                  Object key = entry.getKey();                  Object val = entry.getValue();                  if  val).equals(sUserName)) {                      hUserName.remove;                  }              }              // 添加现在的sessionID和username              hUserName.put(session.getId(), sUserName);              System.out.println("hUserName   =   "   hUserName);          } else {// 如果该用户没登录过,直接添加现在的sessionID和username              flag = false;              hUserName.put(session.getId(), sUserName);              System.out.println("hUserName   =   "   hUserName);          }          return flag;      }          /**      * isOnline-用于判断用户是否在线      *       * @param session      *            HttpSession-登录的用户名称      * @return boolean-该用户是否在线的标志      */      public static boolean isOnline(HttpSession session) {          boolean flag = true;          if (hUserName.containsKey(session.getId {              flag = true;          } else {              flag = false;          }          return flag;      }  } 

较大的企业内部,一般都有很多的业务支持系统为其提供相应的管理和IT服 务。例如财务系统为财务人员提供财务的管理、计算和报表服务;人事系统为人事部门提供全公司人员的维护服务;各种业务系统为公司内部不同的业务提供不同的 服务等等。这些系统的目的都是让计算机来进行复杂繁琐的计算工作,来替代人力的手工劳动,提高工作效率和质量。这些不同的系统往往是在不同的时期建设起来 的,运行在不同的平台上;也许是由不同厂商开发,使用了各种不同的技术和标准。如果举例说国内一著名的IT公司(名字隐去),内部共有60多个业务系统,这些系统包括两个不同版本的SAP的ERP系统,12个不同类型和版本的数据库系统,8个不同类型和版本的操作系统,以及使用了3种不同的防火墙技术,还有数十种互相不能兼容的协议和标准,你相信吗?不要怀疑,这种情况其实非常普遍。每一个应用系统在运行了数年以后,都会成为不可替换的企业IT架构的一部分,如下图所示。

图片 14

  1. 统一的身份认证服务。
  2. 修改Web应用,使得每个应用都通过这个统一的认证服务来进行身份效验。

本文由澳门皇冠金沙网站发布于编辑程序,转载请注明出处:单点登录SSO的实现原理,实现单点登录