走在架構師的大道上 Jack.Wang's home

1 什么是單點登陸
      單點登錄（Single Sign On），簡稱為 SSO，是目前比較流行的企業業務整合的解決方案之一。SSO的定義是在多個應用系統中，用戶只需要登錄一次就可以訪問所有相互信任的應用系統。
      較大的企業內部，一般都有很多的業務支持系統為其提供相應的管理和IT服務。例如財務系統為財務人員提供財務的管理、計算和報表服務；人事系統為人事部門 提供全公司人員的維護服務；各種業務系統為公司內部不同的業務提供不同的服務等等。這些系統的目的都是讓計算機來進行復雜繁瑣的計算工作，來替代人力的手 工勞動，提高工作效率和質量。這些不同的系統往往是在不同的時期建設起來的，運行在不同的平臺上；也許是由不同廠商開發，使用了各種不同的技術和標準。如 果舉例說國內一著名的IT公司（名字隱去），內部共有60多個業務系統，這些系統包括兩個不同版本的SAP的ERP系統，12個不同類型和版本的數據庫系 統，8個不同類型和版本的操作系統，以及使用了3種不同的防火墻技術，還有數十種互相不能兼容的協議和標準，你相信嗎？不要懷疑，這種情況其實非常普遍。 每一個應用系統在運行了數年以后，都會成為不可替換的企業IT架構的一部分，如下圖所示。

      隨著企業的發展，業務系統的數量在不斷的增加，老的系統卻不能輕易的替換，這會帶來很多的開銷。其一是管理上的開銷，需要維護的系統越來越多。很多系統的 數據是相互冗余和重復的，數據的不一致性會給管理工作帶來很大的壓力。業務和業務之間的相關性也越來越大，例如公司的計費系統和財務系統，財務系統和人事 系統之間都不可避免的有著密切的關系。

      為了降低管理的消耗，最大限度的重用已有投資的系統，很多企業都在進行著企業應用集成（EAI）。企業應用集成可以在不同層面上進行：例如在數據存儲層面 上的“數據大集中”，在傳輸層面上的“通用數據交換平臺”，在應用層面上的“業務流程整合”，和用戶界面上的“通用企業門戶”等等。事實上，還用一個層面 上的集成變得越來越重要，那就是“身份認證”的整合，也就是“單點登錄”。

      通常來說，每個單獨的系統都會有自己的安全體系和身份認證系統。整合以前，進入每個系統都需要進行登錄，這樣的局面不僅給管理上帶來了很大的困難，在安全方面也埋下了重大的隱患。下面是一些著名的調查公司顯示的統計數據：

• 用戶每天平均16分鐘花在身份驗證任務上 - 資料來源：IDS
• 頻繁的IT用戶平均有21個密碼 - 資料來源：NTA Monitor Password Survey
• 49%的人寫下了其密碼，而67%的人很少改變它們
• 每79秒出現一起身份被竊事件 - 資料來源：National Small Business Travel Assoc
• 全球欺騙損失每年約12B - 資料來源：Comm Fraud Control Assoc
• 到2007年，身份管理市場將成倍增長至$4.5B - 資料來源：IDS

      使用“單點登錄”整合后，只需要登錄一次就可以進入多個系統，而不需要重新登錄，這不僅僅帶來了更好的用戶體驗，更重要的是降低了安全的風險和管理的消耗。請看下面的統計數據：

• 提高IT效率：對于每1000個受管用戶，每用戶可節省$70K
• 幫助臺呼叫減少至少1/3，對于10K員工的公司，每年可以節省每用戶$75，或者合計$648K
• 生產力提高：每個新員工可節省$1K，每個老員工可節省$350 - 資料來源：Giga
• ROI回報：7.5到13個月 - 資料來源：Gartner   

      另外，使用“單點登錄”還是SOA時代的需求之一。在面向服務的架構中，服務和服務之間，程序和程序之間的通訊大量存在，服務之間的安全認證是SOA應用的難點之一，應此建立“單點登錄”的系統體系能夠大大簡化SOA的安全問題，提高服務之間的合作效率。
   2 單點登陸的技術實現機制
      隨著SSO技術的流行，SSO的產品也是滿天飛揚。所有著名的軟件廠商都提供了相應的解決方案。在這里我并不想介紹自己公司（Sun Microsystems）的產品，而是對SSO技術本身進行解析，并且提供自己開發這一類產品的方法和簡單演示。有關我寫這篇文章的目的，請參考我的博 客（http://yuwang881.blog.sohu.com/3184816.html）。

      單點登錄的機制其實是比較簡單的，用一個現實中的例子做比較。頤和園是北京著名的旅游景點，也是我常去的地方。在頤和園內部有許多獨立的景點，例如“蘇州 街”、“佛香閣”和“德和園”，都可以在各個景點門口單獨買票。很多游客需要游玩所有德景點，這種買票方式很不方便，需要在每個景點門口排隊買票，錢包拿 進拿出的，容易丟失，很不安全。于是絕大多數游客選擇在大門口買一張通票（也叫套票），就可以玩遍所有的景點而不需要重新再買票。他們只需要在每個景點門 口出示一下剛才買的套票就能夠被允許進入每個獨立的景點。
      單點登錄的機制也一樣，如下圖所示，當用戶第一次訪問應用系統1的時候，因為還沒有登錄，會被引導到認證系統中進行登錄（1）；根據用戶提供的登錄信息， 認證系統進行身份效驗，如果通過效驗，應該返回給用戶一個認證的憑據－－ticket（2）；用戶再訪問別的應用的時候（3，5）就會將這個ticket 帶上，作為自己認證的憑據，應用系統接受到請求之后會把ticket送到認證系統進行效驗，檢查ticket的合法性（4，6）。如果通過效驗，用戶就可 以在不用再次登錄的情況下訪問應用系統2和應用系統3了。
  
      從上面的視圖可以看出，要實現SSO，需要以下主要的功能：

• 所有應用系統共享一個身份認證系統。
  統一的認證系統是SSO的前提之一。認證系統的主要功能是將用戶的登錄信息和用戶信息庫相比較，對用戶進行登錄認證；認證成功后，認證系統應該生成統一的認證標志（ticket），返還給用戶。另外，認證系統還應該對ticket進行效驗，判斷其有效性。
• 所有應用系統能夠識別和提取ticket信息
  要實現SSO的功能，讓用戶只登錄一次，就必須讓應用系統能夠識別已經登錄過的用戶。應用系統應該能對ticket進行識別和提取，通過與認證系統的通訊，能自動判斷當前用戶是否登錄過，從而完成單點登錄的功能。   

      上面的功能只是一個非常簡單的SSO架構，在現實情況下的SSO有著更加復雜的結構。有兩點需要指出的是：

• 單一的用戶信息數據庫并不是必須的，有許多系統不能將所有的用戶信息都集中存儲，應該允許用戶信息放置在不同的存儲中，如下圖所示。事實上，只要統一認證系統，統一ticket的產生和效驗，無論用戶信息存儲在什么地方，都能實現單點登錄。    

• 統一的認證系統并不是說只有單個的認證服務器，如下圖所示，整個系統可以存在兩個以上的認證服務器，這些服務器甚至可以是不同的產品。認證服務器 之間要通過標準的通訊協議，互相交換認證信息，就能完成更高級別的單點登錄。如下圖，當用戶在訪問應用系統1時，由第一個認證服務器進行認證后，得到由此 服務器產生的ticket。當他訪問應用系統4的時候，認證服務器2能夠識別此ticket是由第一個服務器產生的，通過認證服務器之間標準的通訊協議 （例如SAML）來交換認證信息，仍然能夠完成SSO的功能。

     
    3 WEB-SSO的實現
      隨著互聯網的高速發展，WEB應用幾乎統治了絕大部分的軟件應用系統，因此WEB-SSO是SSO應用當中最為流行。WEB-SSO有其自身的特點和優 勢，實現起來比較簡單易用。很多商業軟件和開源軟件都有對WEB-SSO的實現。其中值得一提的是OpenSSO （https://opensso.dev.java.net），為用Java實現WEB-SSO提供架構指南和服務指南，為用戶自己來實現WEB-SSO提供了理論的依據和實現的方法。  
      為什么說WEB-SSO比較容易實現呢？這是有WEB應用自身的特點決定的。
      眾所周知，Web協議（也就是HTTP）是一個無狀態的協議。一個Web應用由很多個Web頁面組成，每個頁面都有唯一的URL來定義。用戶在瀏覽器的地 址欄輸入頁面的URL，瀏覽器就會向Web Server去發送請求。如下圖，瀏覽器向Web服務器發送了兩個請求，申請了兩個頁面。這兩個頁面的請求是分別使用了兩個單獨的HTTP連接。所謂無狀 態的協議也就是表現在這里，瀏覽器和Web服務器會在第一個請求完成以后關閉連接通道，在第二個請求的時候重新建立連接。Web服務器并不區分哪個請求來 自哪個客戶端，對所有的請求都一視同仁，都是單獨的連接。這樣的方式大大區別于傳統的（Client/Server）C/S結構,在那樣的應用中，客戶端 和服務器端會建立一個長時間的專用的連接通道。正是因為有了無狀態的特性，每個連接資源能夠很快被其他客戶端所重用，一臺Web服務器才能夠同時服務于成 千上萬的客戶端。

      但是我們通常的應用是有狀態的。先不用提不同應用之間的SSO，在同一個應用中也需要保存用戶的登錄身份信息。例如用戶在訪問頁面1的時候進行了登錄，但 是剛才也提到，客戶端的每個請求都是單獨的連接，當客戶再次訪問頁面2的時候，如何才能告訴Web服務器，客戶剛才已經登錄過了呢？瀏覽器和服務器之間有 約定：通過使用cookie技術來維護應用的狀態。Cookie是可以被Web服務器設置的字符串，并且可以保存在瀏覽器中。如下圖所示，當瀏覽器訪問了 頁面1時，web服務器設置了一個cookie，并將這個cookie和頁面1一起返回給瀏覽器，瀏覽器接到cookie之后，就會保存起來，在它訪問頁 面2的時候會把這個cookie也帶上，Web服務器接到請求時也能讀出cookie的值，根據cookie值的內容就可以判斷和恢復一些用戶的信息狀 態。

      Web-SSO完全可以利用Cookie結束來完成用戶登錄信息的保存，將瀏覽器中的Cookie和上文中的Ticket結合起來，完成SSO的功能。

      為了完成一個簡單的SSO的功能，需要兩個部分的合作：

• 統一的身份認證服務。
• 修改Web應用，使得每個應用都通過這個統一的認證服務來進行身份效驗。

   3.1 Web SSO 的樣例
      根據上面的原理，我用J2EE的技術（JSP和Servlet）完成了一個具有Web-SSO的簡單樣例。樣例包含一個身份認證的服務器和兩個簡單的 Web應用，使得這兩個 Web應用通過統一的身份認證服務來完成Web-SSO的功能。此樣例所有的源代碼和二進制代碼都可以從網站地址http://gceclub.sun.com.cn/wangyu/下載。

      樣例下載、安裝部署和運行指南：

• Web-SSO的樣例是由三個標準Web應用組成，壓縮成三個zip文件，從http://gceclub.sun.com.cn/wangyu/web-sso/中下載。其中SSOAuth（http://gceclub.sun.com.cn/wangyu/web-sso/SSOAuth.zip）是身份認證服務；SSOWebDemo1（http://gceclub.sun.com.cn/wangyu/web-sso/SSOWebDemo1.zip）和SSOWebDemo2（http://gceclub.sun.com.cn/wangyu/web-sso/SSOWebDemo2.zip） 是兩個用來演示單點登錄的Web應用。這三個Web應用之所以沒有打成war包，是因為它們不能直接部署，根據讀者的部署環境需要作出小小的修改。樣例部 署和運行的環境有一定的要求，需要符合Servlet2.3以上標準的J2EE容器才能運行（例如Tomcat5,Sun Application Server 8, Jboss 4等）。另外，身份認證服務需要JDK1.5的運行環境。之所以要用JDK1.5是因為筆者使用了一個線程安全的高性能的Java集合類 “ConcurrentMap”，只有在JDK1.5中才有。
• 這三個Web應用完全可以單獨部署，它們可以分別部署在 不同的機器，不同的操作系統和不同的J2EE的產品上，它們完全是標準的和平臺無關的應用。但是有一個限制，那兩臺部署應用（demo1、demo2）的 機器的域名需要相同，這在后面的章節中會解釋到cookie和domain的關系以及如何制作跨域的WEB-SSO
  解壓縮SSOAuth.zip文件，在/WEB-INF/下的web.xml中請修改“domainname”的屬性以反映實際的應用部署情況， domainname需要設置為兩個單點登錄的應用（demo1和demo2）所屬的域名。這個domainname和當前SSOAuth服務部署的機器 的域名沒有關系。我缺省設置的是“.sun.com”。如果你部署demo1和demo2的機器沒有域名，請輸入IP地址或主機名（如 localhost），但是如果使用IP地址或主機名也就意味著demo1和demo2需要部署到一臺機器上了。設置完后，根據你所選擇的J2EE容器， 可能需要將SSOAuth這個目錄壓縮打包成war文件。用“jar -cvf SSOAuth.war SSOAuth/”就可以完成這個功能。
• 解壓縮SSOWebDemo1和SSOWebDemo2文件，分別在它們/WEB-INF/下找到web.xml文件，請修改其中的幾個初始化參數

<init-param>
<param-name>SSOServiceURL</param-name>
<param-value>http://wangyu.prc.sun.com:8080/SSOAuth/SSOAuth</param-value>
</init-param>
<init-param>
<param-name>SSOLoginPage</param-name>
<param-value>http://wangyu.prc.sun.com:8080/SSOAuth/login.jsp</param-value>
</init-param>

• 將其中的SSOServiceURL和SSOLoginPage修改成部署SSOAuth應用的機器名、端口號以及根路徑（缺省是 SSOAuth）以反映實際的部署情況。設置完后，根據你所選擇的J2EE容器，可能需要將SSOWebDemo1和SSOWebDemo2這兩個目錄壓 縮打包成兩個war文件。用“jar -cvf SSOWebDemo1.war SSOWebDemo1/”就可以完成這個功能。
• 請輸入第一個web應用的測試URL（test.jsp）,例如http://wangyu.prc.sun.com:8080/SSOWebDemo1/test.jsp，如果是第一次訪問，便會自動跳轉到登錄界面，如下圖。

• 使用系統自帶的三個帳號之一登錄（例如，用戶名：wangyu,密碼：wangyu），便能成功的看到test.jsp的內容：顯示當前用戶名和歡迎信息。

• 請接著在同一個瀏覽器中輸入第二個web應用的測試URL（test.jsp）,例如http://wangyu.prc.sun.com:8080/SSOWebDemo2/test.jsp。你會發現，不需要再次登錄就能看到test.jsp的內容，同樣是顯示當前用戶名和歡迎信息，而且歡迎信息中明確的顯示當前的應用名稱（demo2）。   

   3.2 WEB-SSO代碼講解
      3.2.1身份認證服務代碼解析
      Web-SSO的源代碼可以從網站地址http://gceclub.sun.com.cn/wangyu/web-sso/websso_src.zip下 載。身份認證服務是一個標準的web應用，包括一個名為SSOAuth的Servlet，一個login.jsp文件和一個failed.html。身份 認證的所有服務幾乎都由SSOAuth的Servlet來實現了；login.jsp用來顯示登錄的頁面（如果發現用戶還沒有登錄過）； failed.html是用來顯示登錄失敗的信息（如果用戶的用戶名和密碼與信息數據庫中的不一樣）。
  
      SSOAuth的代碼如下面的列表顯示，結構非常簡單，先看看這個Servlet的主體部分：
package DesktopSSO;

import java.io.*;
import java.net.*;
import java.text.*;
import java.util.*;
import java.util.concurrent.*;

import javax.servlet.*;
import javax.servlet.http.*;


public class SSOAuth extends HttpServlet {
    
      static private ConcurrentMap accounts;
      static private ConcurrentMap SSOIDs;
      String cookiename="WangYuDesktopSSOID";
      String domainname;
    
      public void init(ServletConfig config) throws ServletException {
          super.init(config);
          domainname= config.getInitParameter("domainname");
          cookiename = config.getInitParameter("cookiename");
          SSOIDs = new ConcurrentHashMap();
          accounts=new ConcurrentHashMap();
          accounts.put("wangyu", "wangyu");
          accounts.put("paul", "paul");
          accounts.put("carol", "carol");
      }

      protected void processRequest(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
          PrintWriter ut = response.getWriter();
          String action = request.getParameter("action");
          String result="failed";
          if (action==null) {
              handlerFromLogin(request,response);
          } else if (action.equals("authcookie")){
              String myCookie = request.getParameter("cookiename");
              if (myCookie != null) result = authCookie(myCookie);
              out.print(result);
              out.close();
          } else if (action.equals("authuser")) {
             result=authNameAndPasswd(request,response);
              out.print(result);
              out.close();
          } else if (action.equals("logout")) {
              String myCookie = request.getParameter("cookiename");
              logout(myCookie);
              out.close();
          }
      }

.....

}

      從代碼很容易看出，SSOAuth就是一個簡單的Servlet。其中有兩個靜態成員變量：accounts和SSOIDs，這兩個成員變量都使用了 JDK1.5中線程安全的MAP類： ConcurrentMap，所以這個樣例一定要JDK1.5才能運行。Accounts用來存放用戶的用戶名和密碼，在init()的方法中可以看到我 給系統添加了三個合法的用戶。在實際應用中，accounts應該是去數據庫中或LDAP中獲得，為了簡單起見，在本樣例中我使用了 ConcurrentMap在內存中用程序創建了三個用戶。而SSOIDs保存了在用戶成功的登錄后所產生的cookie和用戶名的對應關系。它的功能顯 而易見：當用戶成功登錄以后，再次訪問別的系統，為了鑒別這個用戶請求所帶的cookie的有效性，需要到SSOIDs中檢查這樣的映射關系是否存在。

      在主要的請求處理方法processRequest()中，可以很清楚的看到SSOAuth的所有功能。

• 如果用戶還沒有登錄過，是第一次登錄本系統，會被跳轉到login.jsp頁面（在后面會解釋如何跳轉）。用戶在提供了用戶名和密碼以后，就會用handlerFromLogin()這個方法來驗證。
• 如果用戶已經登錄過本系統，再訪問別的應用的時候，是不需要再次登錄的。因為瀏覽器會將第一次登錄時產生的cookie和請求一起發送。效驗cookie的有效性是SSOAuth的主要功能之一。
• SSOAuth還能直接效驗非login.jsp頁面過來的用戶名和密碼的效驗請求。這個功能是用于非web應用的SSO，這在后面的桌面SSO中會用到。
• SSOAuth還提供logout服務。   

      下面看看幾個主要的功能函數：
private void handlerFromLogin(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
          String username = request.getParameter("username");
          String password = request.getParameter("password");
          String pass = (String)accounts.get(username);
          if ((pass==null)||(!pass.equals(password)))
              getServletContext().getRequestDispatcher("/failed.html").forward(request, response);
          else {
              String gotoURL = request.getParameter("goto");
              String newID = createUID();
              SSOIDs.put(newID, username);
              Cookie wangyu = new Cookie(cookiename, newID);
              wangyu.setDomain(domainname);
              wangyu.setMaxAge(60000);
              wangyu.setValue(newID);
              wangyu.setPath("/");
              response.addCookie(wangyu);
              System.out.println("login success, goto back url:" + gotoURL);
              if (gotoURL != null) {
                  PrintWriter ut = response.getWriter();
                  response.sendRedirect(gotoURL);
                  out.close();
              }
          }   
      }
      handlerFromLogin()這個方法是用來處理來自login.jsp的登錄請求。它的邏輯很簡單：將用戶輸入的用戶名和密碼與預先設定好的用 戶集合（存放在accounts中）相比較，如果用戶名或密碼不匹配的話，則返回登錄失敗的頁面（failed.html），如果登錄成功的話，需要為用 戶當前的session創建一個新的ID，并將這個ID和用戶名的映射關系存放到SSOIDs中，最后還要將這個ID設置為瀏覽器能夠保存的cookie 值。
      登錄成功后，瀏覽器會到哪個頁面呢？那我們回顧一下我們是如何使用身份認證服務的。一般來說我們不會直接訪問身份服務的任何URL，包括 login.jsp。身份服務是用來保護其他應用服務的，用戶一般在訪問一個受SSOAuth保護的Web應用的某個URL時，當前這個應用會發現當前的 用戶還沒有登錄，便強制將也頁面轉向SSOAuth的login.jsp，讓用戶登錄。如果登錄成功后，應該自動的將用戶的瀏覽器指向用戶最初想訪問的那 個URL。在handlerFromLogin()這個方法中，我們通過接收“goto”這個參數來保存用戶最初訪問的URL，成功后便重新定向到這個頁 面中。
      另外一個要說明的是，在設置cookie的時候，我使用了一個setMaxAge(6000)的方法。這個方法是用來設置cookie的有效期，單位是 秒。如果不使用這個方法或者參數為負數的話，當瀏覽器關閉的時候，這個cookie就失效了。在這里我給了很大的值（1000分鐘），導致的行為是：當你 關閉瀏覽器（或者關機），下次再打開瀏覽器訪問剛才的應用，只要在1000分鐘之內，就不需要再登錄了。我這樣做是下面要介紹的桌面SSO中所需要的功 能。
      其他的方法更加簡單，這里就不多解釋了。

---

本博客為學習交流用，凡未注明引用的均為本人作品，轉載請注明出處，如有版權問題請及時通知。由于博客時間倉促，錯誤之處敬請諒解，有任何意見可給我留言，愿共同學習進步。