面试必问的4种单点登录的实现方式，你知道几个？

2019-09-26 619

前言

单点登录在现在的系统架构中广泛存在，他将多个子系统的认证体系打通，实现了一个入口多处使用，而在架构单点登录时，也会遇到一些小问题，在不同的应用环境中可以采用不同的单点登录实现方案来满足需求。

一、共享Session

共享Session可谓是实现单点登录最直接、最简单的方式。将用户认证信息保存于Session中，即以Session内存储的值为用户凭证，这在单个站点内使用是很正常也很容易实现的，而在用户验证、用户信息管理与业务应用分离的场景下即会遇到单点登录的问题，在应用体系简单，子系统很少的情况下，可以考虑采用Session共享的方法来处理这个问题。

这个架构我使用了基于Redis的Session共享方案。将Session存储于Redis上，然后将整个系统的全局Cookie Domain设置于顶级域名上，这样SessionID就能在各个子系统间共享。分布式Session共享解决方案，这篇推荐大家看下。
这个方案存在着严重的扩展性问题，首先，ASP.NET的Session存储必须为SessionStateItemCollection对象，而存储的结构是经过序列化后经过加密存储的。
并且当用户访问应用时，他首先做的就是将存储容器里的所有内容全部取出，并且反序列化为SessionStateItemCollection对象。
这就决定了他具有以下约束：
1.Session中所涉及的类型必须是子系统中共同拥有的（即程序集、类型都需要一致），这导致Session的使用受到诸多限制；
2.跨顶级域名的情况完全无法处理；

二、基于OpenId的单点登录

这种单点登录将用户的身份标识信息简化为OpenId存放于客户端，当用户登录某个子系统时，将OpenId传送到服务端，服务端根据OpenId构造用户验证信息，多用于C/S与B/S相结合的系统，流程如下：

由上图可以看到，这套单点登录依赖于OpenId的传递，其验证的基础在于OpenId的存储以及发送。
1.当用户第一次登录时，将用户名密码发送给验证服务；
2.验证服务将用户标识OpenId返回到客户端；
3.客户端进行存储；
4.访问子系统时，将OpenId发送到子系统；
5.子系统将OpenId转发到验证服务；
6.验证服务将用户认证信息返回给子系统；
7.子系统构建用户验证信息后将授权后的内容返回给客户端。
这套单点登录验证机制的主要问题在于他基于C/S架构下将用户的OpenId存储于客户端，在子系统之间发送OpenId，而B/S模式下要做到这一点就显得较为困难。为了处理这个问题我们将引出下一种方式，这种方式将解决B/S模式下的OpenId的存储、传递问题。

三、基于Cookie的OpenId存储方案

我们知道，Cookie的作用在于充当一个信息载体在Server端和Browser端进行信息传递，而Cookie一般是以域名为分割的，例如a.xxx.com与b.xxx.com的Cookie是不能互相访问的，但是子域名是可以访问上级域名的Cookie的。即a.xxx.com和b.xxx.com是可以访问xxx.com下的Cookie的，于是就能将顶级域名的Cookie作为OpenId的载体。

验证步骤和上第二个方法非常相似：
1、在提供验证服务的站点里登录；
2、将OpenId写入顶级域名Cookie里；
3、访问子系统（Cookie里带有OpenId）
4、子系统取出OpenId通过并向验证服务发送OpenId
5、返回用户认证信息
6、返回授权后的内容
在以上两种方法中我们都可以看到通过OpenId解耦了Session共享方案中的类型等问题，并且构造用户验证信息将更灵活，子系统间的验证是相互独立的，但是在第三种方案里，我们基于所有子系统都是同一个顶级域名的假设，而在实际生产环境里有多个域名是很正常的事情，那么就不得不考虑跨域问题究竟如何解决。

四、B/S多域名环境下的单点登录处理

在多个顶级域名的情况下，我们将无法让各个子系统的OpenId共享。处理B/S环境下的跨域问题，我们首先就应该想到JSONP的方案。

验证步骤如下：
1、用户通过登录子系统进行用户登录；
2、用户登录子系统记录了用户的登录状态、OpenId等信息；
3、用户使用业务子系统；
4、若用户未登录业务子系统则将用户跳转至用户登录子系统；
5、用户子系统通过JSONP接口将用户OpenId传给业务子系统；
6、业务子系统通过OpenId调用验证服务；
7、验证服务返回认证信息、业务子系统构造用户登录凭证；（此时用户客户端已经与子业务系统的验证信息已经一一对应）
8、将用户登录结果返回用户登录子系统，若成功登录则将用户跳转回业务子系统；
9、将授权后的内容返回客户端；

五、安全问题

经过以上步骤，跨域情况下的单点登录问题已经可以得到解决。而在整个开发过程初期，我们采用用户表中纪录一个OpenId字段来保存用户OpenId，而这个机制下很明显存在一些安全性、扩展性问题。这个扩展性问题主要体现在一个方面：OpenId的安全性和用户体验的矛盾。

整个单点登录的机制决定了OpenId是会出现在客户端的，所以OpenId需要有过期机制，假如用户在一个终端登录的话可以选择在用户每次登录或者每次退出时刷新OpenId，而在多终端登录的情况下就会出现矛盾：当一个终端刷新了OpenId之后其他终端将无法正常授权。
欢迎大家关注我的公种浩【程序员追风】，文章都会在里面更新，整理的资料也会放在里面。

而最终，我采用了单用户多OpenId的解决方案。每次用户通过用户名/密码登录时，产生一个OpenId保存在Redis里，并且设定过期时间，这样多个终端登录就会有多个OpenId与之对应，不再会存在一个OpenId失效所有终端验证都失效的情况。

最后

欢迎大家一起交流，喜欢文章记得点个赞哟，感谢支持！

微信关注我们

原文链接：https://yq.aliyun.com/articles/719524

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

phpstudy 漏洞分析与利用POC 包含漏洞补丁

phpStudy于近日被暴露出有后门漏洞，之前的phpStudy2016，phpStudy2018部分版本，EXE程序包疑似被入侵者植入木马后门，导致许多网站及服务器被攻击，被篡改，目前我们SINE安全公司立即成立phpStudy安全应急响应小组，针对部分客户服务器上安装该PHP一键环境搭建的情况，进行了全面的漏洞修复与安全防护。第一时间保障客户的网站安全，以及服务器的安全稳定运行。关于该漏洞的详情，我们来安全分析一下，以及复现，漏洞修复，三个方面来入手。国内大部分的服务器尤其windows系统，都有安装phpstudy一键环境搭建软件，该软件可以自动设置安装apache,php，mysql数据库，以及zend安装，并自动设置root账号密码，一键化操作，深受广大网站运营以及服务器维护者的喜欢，正因为使用的人较多，导致被攻击者盯上并植入木马后门到exe程序包中。该后门文件是PHP环境当中的php_xmlrpc.dll模块被植入木马后门，具体的名称，经过我们SINE安全技术的安全检测，可以确定是phpstudy2016.11.03版本，以及phpstudy2018.02.11版本，后门...

2019-09-26

744

PEP 8 规范 PEP 是 Python Enhancement Proposal 的缩写，翻译过来叫“Python 增强规范”。缩进规范 PEP 8 规范告诉我们，请选择四个空格的缩进，不要使用 Tab，更不要 Tab 和空格混着用。第二个要注意的是，每行最大长度请限制在 79 个字符。空行规范 PEP 8 规定，全局的类和函数的上方需要空两个空行，而类的函数之间需要空一个空行。空格规范函数的参数列表中，调用函数的参数列表中会出现逗号，请注意逗号后要跟一个空格，这是英语的使用习惯，也能让每个参数独立阅读，更清晰。冒号后面也要跟一个空格。在#后、注释前加一个空格。操作符，例如+，-，*，/，&，|，=，==，!=，请在两边都保留空格。不过与此对应，括号内的两端并不需要空格。换行规范控制每行的最大长度不超过 79 个字符，但是有时候，函数调用逻辑过长而不得不超过这个数字时按以下规范: def solve1(this_is_the_first_parameter, this_is_the_second_parameter, this_is_the_third_...

2019-09-26

739

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。