单点登录( Single Sign On ,简称 SSO),是目前比较流行的企业业务整合的解决方案之一,用于多个应用系统间,用户只需要登录一次就可以访问所有相互信任的应用系统。
Set-Cookie
的首部字段信息或者客户端 document.cookie
来设置,并随着每次请求发送到服务器。子域名可以获取父级域名 Cookie。在介绍单点登录之前,我们先来了解一下在浏览器中,访问一个需要登录的应用时主要发生的一系列流程,如下图所示:
以下为连环画形式,期望能让读者更好的理解:
依赖于登录后设置的 Cookie,之后每次访问时都会携带该 Cookie,从而让后台服务能识别当前登录用户。
题外话
后台是如何通过 SessionID 知道是哪个用户呢?
当访问同域名下的页面时,Cookie 和单系统登录时一样,会正常携带,后台服务即可直接获取到对应的 SessionID 值,后台为单服务还是多服务无差别。
子域名间 Cookie 是不共享的,但各子域名均可获取到父级域名的 Cookie,即 app.demo.com
与 news.demo.com
均可以获取 demo.com
域名下的 Cookie。所以可以通过将 Cookie 设置在父级域名上,可以达到子域名共享的效果,即当用户在 app.demo.com
域名下登录时,在demo.com
域名下设置名为 SessionID 的 Cookie,当用户之后访问news.demo.com
时,后台服务也可以获取到该 SessionID,从而识别用户。
默认情况下,不同域名是无法直接共享 Cookie 的。
如果只是期望异步请求时获取当前用户的登录态,可以通过发送跨域请求到已经登录过的域名,并配置属性:
xhrFields: { withCredentials: true}
复制代码
这样可在请求时携带目标域名的 Cookie,目标域名的服务即可识别当前用户。
但是,这要求目标域名的接口支持 CORS 访问(出于安全考虑,CORS 开启 withCredentials 时,浏览器不支持使用通配符*
,需明确设置可跨域访问的域名名单)。
题外话:
如果只是为了规避浏览器的限制,实现与通配*
同样的效果,到达所有域名都可以访问的目的,可根据访问的 Referrer
解析请求来源域名,作为可访问名单。但是出于安全考虑,不推荐使用,请设置明确的可访问域名。
CAS(Central Authentication Service),即中央认证服务,是 Yale 大学发起的一个开源项目,旨在为 Web 应用系统提供一种可靠的单点登录方法。
既然不能跨域获取,那 CAS 如何做到共享呢?它通过跳转中间域名的方式来实现登录。
页面访问流程如下图:
以下为连环画形式,期望能让读者更好的理解:
其中需要关注以下 2 点:
其他相关的内容,也可以进行简单了解,如:单点登录退出 SLO、OAuth2。
头图:Unsplash
作者:余诺
原文:https://mp.weixin.qq.com/s/_AJf3B-HezUgtSh8gprKLw
原文:图文并茂,为你揭开“单点登录“的神秘面纱
来源:政采云前端团队 - 微信公众号 [ID:Zoo-Team]
转载:著作权归作者所有。商业转载请联系作者获得授权,非商业转载请注明出处。
领取专属 10元无门槛券
私享最新 技术干货