900字范文 > SSO单点登录系统的设计与实现

SSO单点登录系统的设计与实现

时间：2021-08-21 09:47:45

相关推荐

SSO单点登录系统的设计与实现

之前在项目中用到了单点登录系统来解决分布式环境中Session共享的问题，趁着现在闲了，总结一下......

什么是sso系统

SSO英文全称Single Sign On，单点登录。SSO是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。它包括可以将这次主要的登录映射到其他应用中用于同一个用户的登录的机制。它是目前比较流行的企业业务整合的解决方案之一。

为什么要有单点登录系统

针对这个问题，我就拿现有的一个项目说一下吧，这个项目不仅涉及到集群，还涉及到了分布式。

先不说分布式，就单单拿集群来说，就会存在一个问题，比如，我这次访问网站，进行了登录，过一会之后我访问个人中心，Nginx将我的请求发到了另一台服务器，这时就出现问题了，这台服务器中并没没有保存我的登录状态，因而我需要重新登录，然后我又访问一次个人中心，Nginx又将我的请求发送到另一台服务器，然后...又提醒我登录，这当然是不能忍的，对于这种情况，除了搭建单点登录系统，还有一个解决方案，就是在Tomcat中配置Session复制，配置好了之后，tomcat会以广播的形式共享Session信息，但是这大大地增加了Tomcat的压力，而且存在一个问题，当你的集群中节点数量不断增加，就会出现问题，session共享太占用系统资源了，所以一般不选择这个作为解决方案。分布式环境下的登录问题就更不用说了，和集群中类似......这个时候我们就需要搭建一个单点登录系统，提供一个接口，共其他模块调用，以检测用户登录状态。

SSO单点登录系统说白了就是使用redis模拟Session（Key-Value），实现Session的统一管理。

具体实现

SSO表现层

定义了三个处理器，分别用于注册、登录、外部调用，查看用户登录状态：

RegisterController.java

package cn.e3mall.sso.controller;import org.springframework.beans.factory.annotation.Autowired;import org.springframework.stereotype.Controller;import org.springframework.web.bind.annotation.PathVariable;import org.springframework.web.bind.annotation.RequestMapping;import org.springframework.web.bind.annotation.RequestMethod;import org.springframework.web.bind.annotation.ResponseBody;import mon.utils.E3Result;import cn.e3mall.pojo.TbUser;import cn.e3mall.sso.service.RegisterService;/*** 注册功能Controller*/@Controllerpublic class RegisterController {@Autowiredprivate RegisterService registerService;@RequestMapping("/page/register")public String showRegister() {return "register";}@RequestMapping("/user/check/{param}/{type}")@ResponseBodypublic E3Result checkData(@PathVariable String param, @PathVariable Integer type) {return registerService.checkData(param, type);}@RequestMapping(value="/user/register", method=RequestMethod.POST)@ResponseBodypublic E3Result saveUser(TbUser user) {return registerService.saveUser(user);}}

这个没什么好说的，就是调用服务进行用户注册，将注册信息插入数据库中。

LoginController.java

package cn.e3mall.sso.controller;import javax.servlet.http.HttpServletRequest;import javax.servlet.http.HttpServletResponse;import org.springframework.beans.factory.annotation.Autowired;import org.springframework.beans.factory.annotation.Value;import org.springframework.stereotype.Controller;import org.springframework.web.bind.annotation.RequestMapping;import org.springframework.web.bind.annotation.RequestMethod;import org.springframework.web.bind.annotation.ResponseBody;import mon.utils.CookieUtils;import mon.utils.E3Result;import cn.e3mall.sso.service.LoginService;@Controllerpublic class LoginController {@Autowiredprivate LoginService loginService;@Value("${TOKEN_KEY}")private String TOKEN_KEY;@RequestMapping("/page/login")public String showLogin() {return "login";}@RequestMapping(value="/user/login", method=RequestMethod.POST)@ResponseBodypublic E3Result login(String username, String password, HttpServletRequest request, HttpServletResponse response) {E3Result e3Result = loginService.userLogin(username, password);// 判断是否登录成功if(e3Result.getStatus() == 200) {String token = (String) e3Result.getData();CookieUtils.setCookie(request, response, TOKEN_KEY, token);// 将token保存在cookie中，浏览器关闭即失效（类似sessionid）}// 如果登录成功，需要将token写入cookiereturn e3Result;}}

这里调用了用户登录服务：

@Overridepublic E3Result userLogin(String username, String password) {// 1、判断用户名和密码是否正确TbUserExample example = new TbUserExample();Criteria criteria = example.createCriteria();criteria.andUsernameEqualTo(username);// 执行查询List<TbUser> userList = userMapper.selectByExample(example);if (userList == null || userList.size() == 0) {// 返回登录失败return E3Result.build(400, "用户名或密码错误");}// 取用户信息TbUser user = userList.get(0);if (!DigestUtils.md5DigestAsHex(password.getBytes()).equals(user.getPassword())) {// 返回登录失败return E3Result.build(400, "用户名或密码错误");}// 3、如果正确生成tokenString token = UUID.randomUUID().toString();// 4、把用户信息写入redis，key：token value：用户信息user.setPassword(null);jedisClient.set("SESSION:" + token, JsonUtils.objectToJson(user));jedisClient.expire("SESSION:" + token, SESSION_EXPIRE);// 5、把token返回return E3Result.ok(token);}

这样，登录成功的话，服务层在Redis中会存在一个String类型的数据，并且这个数据设置了生存时间（30分钟），模拟了Session的生存时间，数据的key为SESSION:随机串，模仿的是sessionid，value为用户的信息（不包含密码）。表现层将服务层返回的token保存在cookie中，用于后续查询用户登录状态以及登录用户信息。

另外需要注意的是，cookie也存在跨域问题，即不能跨三级域名，但是可以跨二级域名，比如和和之间的cookie是互通的，需要设置一下cookie.setDomain（.）；即可

TokenController.java

package cn.e3mall.sso.controller;import mons.lang3.StringUtils;import org.springframework.beans.factory.annotation.Autowired;import org.springframework.http.converter.json.MappingJacksonValue;import org.springframework.stereotype.Controller;import org.springframework.web.bind.annotation.PathVariable;import org.springframework.web.bind.annotation.RequestMapping;import org.springframework.web.bind.annotation.ResponseBody;import mon.utils.E3Result;import mon.utils.JsonUtils;import cn.e3mall.sso.service.TokenService;/*** 根据token查询用户信息Controller* * @author Ldd**/@Controllerpublic class TokenController {@Autowiredprivate TokenService tokenService;/*@RequestMapping(value = "/user/token/{token}", produces = "application/json;charset=utf-8")@ResponseBodypublic String getUserByToken(@PathVariable String token, String callback) {E3Result result = tokenService.getUserByToken(token);// 响应结果之前判断是否为jsonp请求if (StringUtils.isNotBlank(callback)) {// 把结果封装成一个JS语句响应return callback + "(" + JsonUtils.objectToJson(result) + ");";}return JsonUtils.objectToJson(result);}*/@RequestMapping("/user/token/{token}")@ResponseBodypublic Object getUserByToken(@PathVariable String token, String callback) {E3Result result = tokenService.getUserByToken(token);// 响应结果之前判断是否为jsonp请求if (StringUtils.isNotBlank(callback)) {// 响应Jsonp请求(使用于4.1版本以上的Spring)MappingJacksonValue mappingJacksonValue = new MappingJacksonValue(result);mappingJacksonValue.setJsonpFunction(callback);return mappingJacksonValue;}return result;}}

这里调用了服务层的getUserByToKen方法：

@Overridepublic E3Result getUserByToken(String token) {// 从redis中获取用户信息String user_json = jedisClient.get("SESSION:" + token);// 判断if(StringUtils.isBlank(user_json)) {return E3Result.build(201, "用户登录信息已过期");} else {TbUser user = JsonUtils.jsonToPojo(user_json, TbUser.class);// 重置过期时间jedisClient.expire("SESSION:" + token, SESSION_EXPIRE);// 返回结果return E3Result.ok(user);}}

这个处理器用于外部调用以检查用户登录状态，并获取用户登录信息，外部以/user/token/xxxxxxx的形式进行访问，xxxxx即为本地cookie中的token（sessionid），然后服务层从Redis中查询，查询到则表示用户已经登录，然后返回用户信息，并重置Redis中该数据的生存时间。