基于Cookie的SSO登录分析和实现，cookiesso登录

首页

后端开发

php教程

基于Cookie的SSO登录分析和实现，cookiesso登录_PHP教程

WBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWB

Jul 12, 2016 am 09:05 AM

单点登录

基于Cookie的SSO登录分析和实现，cookiesso登录

什么是SSO？

现在很多大的互联网公司都会有很多的应用，比如以下是淘宝网的截图：

天猫聚划算头条等都是不同的应用，有的甚至采用完全不同的域名，但是所有在淘宝注册的用户都是使用的一套用户名和口令，如果在这些系统直接切换做不到登陆状态的同步，体验是非常差的。再举个栗子，很多公司内部系统也有很多个，比如HR系统，财务系统，考勤系统等等，如果员工在一个系统登陆了，跳转到另外一个系统还需要登陆，就会让人很不爽...

基于此，SSO(Single Sign On)应运而生。当然，我们来现实这个需求的方法有很多种，使用Cookie是其中比较简单的方式，主要需要解决的问题是:Cookie是不能跨域传递的，如何将一个域的Cookie通知给其它应用(不在同一个域)？

so，如果你对cookie机制不太熟悉，请先google，并大致了解为什么cookie会设计成不能跨域等相关问题。

如何实现？

SSO有以下几种方式实现

共享Cookie

当我们的子系统都在一个父级域名下时，我们可以将Cookie种在父域下，这样浏览器同域名下的Cookie则可以共享，这样可以通过Cookie加解密的算法获取用户SessionID，从而实现SSO。
但是，后面我们发现这种方式有几种弊端：
a. 所有同域名的系统都能获取SessionID，易被修改且不安全；
b. 跨域无法使用。

ticket验证，我们目前采取的是这种方式

这种实现的SSO有以下几个步骤：
a. 用户访问某个子系统，发现如果未登录，则引导用户跳转到SSO登录页面；
b. 判断SSO是否已经登录；
c. 如果已经登录，直接跳转到回调地址，并返回认证ticket；
d. 如果未登录，用户正确输入用户名/密码，认证通过跳转到回调地址，并返回认证ticket；
e. 子系统获取ticket，调用SSO获取用户uid等信息，成功后让用户登录。

前面已经说了，如何通过Cookie来实现SSO，主要是如何解决跨域问题。首先来谈谈Set-Cookie中的domain属性。

为了让Http协议在一定程度上保持上下文，server在响应的头部可以加入Set-Cookie来写入一些数据到客户端，Set-Cookie中的domain字段用来表示这个cookie所在的域。
栗子：
我们访问www.cookieexm.com，如果server在返回头部中加入了Set-Cookie,如果不指定domain,那么默认这个cookie的域就是www.cookieexm.com，也就是只有访问www.cookieexm.com时客户端才会把这个cookie返给服务端。
如果我们指定domain为.cookieexm.com，那么客户端在访问以下域名：www.cookieexm.com www1.cookieexm.com a.cookieexm.com ***.cookieexm.com 时都能够把cookie返回。
所以，我们得出一条结论：客户端对cookie的domain的匹配是从结尾进行匹配的，有了这个基础，我们就可以实现我们的SSO登陆了。

cookie中需要注意的

设置为http-only
涉及登录凭证（如票据或者用户名）应该加密
cookie不能存放隐私数据

具体方案

假设我们需要在如下子系统 **.a1.a2 **.b1.b2 **.c1.c2间实现单点登录，首先我们需要一个专门用于单点登陆的认证系统(sso.s1.s2)。假设目前系统处于未登录状态，访问www.a1.a2为例：

分别看一下每个步骤作用：

说明:
业务认证系统不一定存在，有些不是太敏感的系统可以直接从SSO Authorization重定向到业务系统，并把SSO的认证信息带过去。

承接上文，此时，如果用户访问www.b1.b2应用，如下图所示：

与访问www.a1.a2不同的是我们在重定向到SSO Authorization时已经不需要再去输入用户名，因为sso.s1.s2此时已经存有cookie，直接用cookie验证。
以上，就是一个简单的基于Cookie的登陆系统。

其中几个问题需要重点解决

如何高效存储大量临时性的信任数据
如何防止信息传递过程被篡改
如何让SSO系统信任登录系统和免登系统

对于第一个问题，一般可以采用类似与memcached的分布式缓存的方案，既能提供可扩展数据量的机制，也能提供高效访问

对于第二个问题，一般采取数字签名的方法，要么通过数字证书签名，要么通过像md5的方式，这就需要SSO系统返回免登URL的时候对需验证的参数进行 md5加密，并带上token一起返回，最后需免登的系统进行验证信任关系的时候，需把这个token传给SSO系统，SSO系统通过对token的验证就可以辨别信息是否被改过

对于最后一个问题，可以通过白名单来处理，说简单点只有在白名单上的系统才能请求生产信任关系，同理只有在白名单上的系统才能被免登录。

转载地址：http://www.jianshu.com/p/baa94d5f1673

声明

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系admin@php.cn

PHP电子邮件：分步发送指南May 09, 2025 am 12:14 AM

phpisusedforsendendemailsduetoitsignegrationwithservermailservicesand andexternalsmtpproviders，自动化notifications andMarketingCampaigns.1）设置设置yourphpenvironcormentswironmentswithaweberswithawebserverserverserverandphp，确保themailfunctionisenabled.2）useabasicscruct

如何通过PHP发送电子邮件：示例和代码May 09, 2025 am 12:13 AM

发送电子邮件的最佳方法是使用PHPMailer库。1)使用mail()函数简单但不可靠，可能导致邮件进入垃圾邮件或无法送达。2)PHPMailer提供更好的控制和可靠性，支持HTML邮件、附件和SMTP认证。3)确保正确配置SMTP设置并使用加密（如STARTTLS或SSL/TLS）以增强安全性。4)对于大量邮件，考虑使用邮件队列系统来优化性能。

高级PHP电子邮件：自定义标题和功能May 09, 2025 am 12:13 AM

CustomHeadersheadersandAdvancedFeaturesInphpeMailenHanceFunctionalityAndreliability.1）CustomHeadersheadersheadersaddmetadatatatatataatafortrackingandCategorization.2）htmlemailsallowformattingandttinganditive.3）attachmentscanmentscanmentscanbesmentscanbestmentscanbesentscanbesentingslibrarieslibrarieslibrariesliblarikelikephpmailer.4）smtppapapairatienticationaltication enterticationallimpr

使用PHP和SMTP发送电子邮件的指南May 09, 2025 am 12:06 AM

使用PHP和SMTP发送邮件可以通过PHPMailer库实现。1)安装并配置PHPMailer，2)设置SMTP服务器细节，3)定义邮件内容，4)发送邮件并处理错误。使用此方法可以确保邮件的可靠性和安全性。

使用PHP发送电子邮件的最佳方法是什么？May 08, 2025 am 12:21 AM

ThebestapproachforsendingemailsinPHPisusingthePHPMailerlibraryduetoitsreliability,featurerichness,andeaseofuse.PHPMailersupportsSMTP,providesdetailederrorhandling,allowssendingHTMLandplaintextemails,supportsattachments,andenhancessecurity.Foroptimalu

PHP中依赖注入的最佳实践May 08, 2025 am 12:21 AM

使用依赖注入(DI)的原因是它促进了代码的松耦合、可测试性和可维护性。1)使用构造函数注入依赖，2)避免使用服务定位器，3)利用依赖注入容器管理依赖，4)通过注入依赖提高测试性，5)避免过度注入依赖，6)考虑DI对性能的影响。

PHP性能调整技巧和技巧May 08, 2025 am 12:20 AM

phperformancetuningiscialbecapeitenhancesspeedandeffice，whatevitalforwebapplications.1）cachingwithapcureduccureducesdatabaseloadprovesrovesponsemetimes.2）优化

PHP电子邮件安全性：发送电子邮件的最佳实践May 08, 2025 am 12:16 AM

ThebestpracticesforsendingemailssecurelyinPHPinclude:1)UsingsecureconfigurationswithSMTPandSTARTTLSencryption,2)Validatingandsanitizinginputstopreventinjectionattacks,3)EncryptingsensitivedatawithinemailsusingOpenSSL,4)Properlyhandlingemailheaderstoa

See all articles