单点登录权限系统-说明
Java分布式单点登录鉴权框架说明
简述：
Smart定位于用当下最流行的技术，为您构建一个易理解、高可用、高
扩展性的应用基层，帮助实现快速开发。
内置Java基础工具类、Dubbo服务
治理、单点登录权限系统(按钮级，权限修改实时生效)、支持分布式的定时
任务服务及代码生成器，和一套易用高兼容的boostrap前端Html模板。
浏览器兼容：
Firefox 5+, Google Chrome 14+,Internet Explorer 8,Internet Explorer 9,Opera 11,Safari 5及各种手机浏览器。
前端：
Html5 + Css3.0 + Bootstrap(ACE模板) + Jquery;
后端：
Maven+SpringMVC+Spring+Mybatis/Hibernate+Zookeeper+Dubbo+Sso+ Redis(选配)+Druid+Fastjson+Mysql+ActiveMQ(选配);
1.单点登录（Sso）;
简单实用的基于Cookie实现的单点登录。
2.分布式服务治理（Dubbo）;
一个分布式服务框架,致力于提供高性能和透明化的RPC远程服务调用
方案,是阿里巴巴SOA服务化治理方案的核心框架。
3.阿里巴巴数据库连接池(Druid);
Druid在监控、可扩展性、稳定性和性能方面都有明显的优势。
4.阿里巴巴Json处理工具包(Fastjson);
fastjson 是一个性能很好的 Java 语言实现的 JSON 解析器和生成器。
5.开源消息总线 (ActiveMQ);
对Spring的支持,通过MQ监听权限修改消息通知。
6.Nosql(Redis);
Redis是一个高性能的key-value数据库，最流行的共享Session处理方案。
Sso单点登录系统
6.1 Question
疑问？ 建议
Thank You
2015/5/8
CAS可以认为是一款针对 Web 应用的单点登录框架，也可以认为是一种协议
CAS特点
• 开源的企业级单点登录解决方案。 • CAS Server 为需要独立部署的 Web 应用 • CAS Client 支持非常多的客户端(这里指单点登录系统中的各个 Web 应用)，包括 Java、php、python等
和删除用户来取消该用户对所有系统资源的访问权限
1.3 什么是CAS
CAS = Central Authentication Service，中央认证服务，一种独立开始指令 协议。CAS 是 Yale 大学发起的一个开源项目，旨在为 Web 应用系统提供一 种可靠的单点登录方法，CAS 在 2004 年 12 月正式成为 JA-SIG 的一个项目。
2.1 SSO实现机制
SSO的实现机制不尽相同，大体分为Cookie(客户端)验证机制和Session(服务器 端)验证机制两大类
Cookie认证是大众使用的用户验证方案(通过接口对每个域名下写cookie)-广播 机制
demo(ucenter)：
<iframe width="0" height="0" src="https:///sso.php?sessid=xxxxxxxxxxxx&sfkey=xxxxxxxxxxx"></iframe> <iframe width="0" height="0" src="https:///sso.php?sessid=xxxxxxxxxxxx&sfkey=xxxxxxxxxxx"></iframe>
单点登录及权限管理原理
单点登录及权限管理原理单点登录（Single Sign-On，SSO）是一种身份验证技术，允许用户使用一组凭证（如用户名和密码）登录单个身份验证服务器，并获得访问多个应用程序或系统的权限，而无需再次输入凭证。
在企业环境和互联网应用中，SSO旨在提高用户体验、简化身份管理和减少密码分散的问题。
SSO的工作原理基于一种名为令牌（Token）的身份凭证机制。
通常，SSO架构包含三个主要的参与方：身份提供者（Identity Provider，IdP）、服务提供者（Service Provider，SP）和用户。
以下是SSO的基本流程：1.用户访问一个应用程序或系统，并尝试进行身份验证。
2.该应用程序或系统将用户重定向到SSO系统的登录页面。
3.用户输入凭证信息（如用户名和密码）。
4.SSO系统验证凭证的有效性。
5.如果凭证有效，SSO系统将用户身份验证成功的消息返回给应用程序或系统，同时生成一个令牌。
6.应用程序或系统在用户请求资源时，通过令牌向SSO系统验证用户的身份。
7.SSO系统验证令牌的有效性，并返回用户的身份信息。
8.应用程序或系统使用该身份信息授权用户访问资源。
通过SSO，用户只需要输入凭证一次，然后就可以在多个应用程序或系统中使用相同的凭证进行身份认证。
这样可以减少用户需要记住的凭证数量，提高用户体验。
同时，SSO还可以简化身份管理，因为只需要在一个中心位置对用户进行管理和授权。
权限管理是指在系统中管理用户对资源的访问权限的过程。
在SSO系统中，权限管理是实现授权、访问控制和权限分配的关键步骤。
通常，权限管理由身份提供者（IdP）负责。
以下是权限管理的基本原理：1.身份提供者（IdP）维护一个用户数据库，其中包含用户的身份信息和相关权限。
2.当用户进行身份验证时，IdP会验证用户的凭证信息和权限。
3.在SSO系统中，用户的身份和权限会被编码为令牌，以便在请求资源时进行验证。
4.应用程序或系统在用户请求资源时，会向SSO系统发送令牌进行验证。
单点登录方案
单点登录方案随着互联网的普及和发展，人们在各个网站和应用上注册账号成了家常便饭。
然而，频繁的注册和登录流程不仅浪费用户时间和精力，也增加了用户管理的复杂性。
为了解决这一问题，单点登录（Single Sign-On，简称SSO）方案应运而生。
一、单点登录的基本概念单点登录是一种用户身份验证技术，即用户只需通过一次登录，就能在多个有关联的网站或应用上进行访问。
用户只需记住一个用户名和密码，即可享受便捷的登录体验。
无论是银行、购物网站还是公司内部系统，只要它们使用了相同的单点登录系统，用户就能实现无缝切换。
二、单点登录的工作原理在单点登录系统中，通常有一个统一认证服务器（Identity Provider，简称IdP）和多个依赖该认证服务器的服务提供者（Service Provider，简称SP）。
用户首次登录某个SP时，SP会将用户重定向至IdP页面进行身份认证。
一旦认证通过，IdP会向SP发送一个令牌（Token），SP将该令牌存储在用户浏览器中。
用户在登录其他SP时，浏览器会自动将令牌发送给SP，SP再向IdP验证令牌的有效性，从而免除了多次登录的麻烦。
三、单点登录的优点1. 方便快捷：用户只需一次登录即可访问多个网站，节省了频繁输入用户名和密码的时间和精力。
2. 用户体验良好：用户无需过多记忆不同网站的账号信息，减少登录问题和密码遗忘的困扰。
3. 信息安全：通过单点登录系统，用户的敏感信息可以集中存储和管理，降低了信息泄露的风险。
4. 提高生产力：对于企业内部系统而言，单点登录方案能够提升员工的工作效率，简化权限管理流程，降低维护成本。
四、单点登录的挑战与解决方案1. 安全性问题：单点登录系统一旦被攻破，所有依赖该系统的服务都会受到影响。
因此，提高系统的安全性至关重要。
采用安全性较高的身份验证方式（如双因素认证）、定期更新系统和密钥等措施都能有效提升系统的安全性。
2. 不同系统的整合：在现实应用中，不同的网站和应用往往使用不同的身份信息存储方式，因此要将它们整合到一个单点登录系统中是有一定挑战的。
单点登录原理及操作方法
单点登录原理及操作方法
单点登录（Single Sign-On，简称SSO）是一种身份验证的方法，允许用户通过一次登录就可以访问多个关联的应用程序、系统或资源而无需重复输入凭据。
单点登录的原理如下：
1. 用户登录：用户通过输入用户名和密码登录到主SSO系统。
2. 验证身份：主SSO系统验证用户的凭据是否有效。
3. 创建会话：验证通过后，主SSO系统为用户创建一个会话，并生成一个唯一的令牌（Token）。
4. 令牌分发：主SSO系统将令牌发送给用户的浏览器。
5. 应用访问：当用户访问关联的应用程序时，浏览器将令牌作为身份验证凭据发送给应用程序。
6. 验证令牌：应用程序接收到令牌后，将其发送给主SSO系统进行验证。
7. 授权访问：主SSO系统验证令牌后，确认用户的身份，并向应用程序授权用户访问权限。
8. 应用登录：应用程序根据用户的授权信息，允许用户访问相应的资源。
操作方法如下：
1. 在SSO系统中注册用户信息，并将其与关联的应用程序进行绑定。
2. 用户通过SSO系统登录，并获取到令牌。
3. 用户访问关联的应用程序时，将令牌发送给应用程序进行验证和授权。
4. 应用程序根据验证结果和授权信息，决定是否允许用户访问。
5. 用户在SSO系统中登出时，会话和令牌会被销毁，用户需要重新登录。
总结来说，单点登录通过一次登录后获取的令牌进行身份验证和授权，实现了用户在多个应用程序间的无缝访问。
这样能够提高用户体验、简化用户登录过程，并增加应用程序之间的安全性。
用户单点登录解决方案
用户单点登录解决方案用户单点登录（SSO）是指用户只需登录一次，即可访问多个相关的系统。
这种解决方案适用于企业内部的各个系统之间或不同企业间的系统之间。
用户无需输入多次用户名和密码，可以方便地在系统间切换，并且能够提高用户体验和工作效率。
下面将介绍用户单点登录解决方案以及其优势和实施步骤。
1. 认证中心（Authentication Service）：认证中心是用户登录验证的核心组件，负责验证用户的身份和生成访问令牌。
用户在认证中心进行登录后，会生成一个访问令牌，并将其返回给用户。
2. 单点登录代理（SSO Agent）：单点登录代理是位于各个系统和认证中心之间的组件，负责在用户访问各个系统前验证访问令牌的有效性。
当用户访问一个需要登录的系统时，该系统会将用户的访问令牌发送给单点登录代理进行验证。
3. 用户信息库（User Database）：用户信息库存储了用户的信息，包括用户名、密码、权限等。
认证中心和各个系统都可以通过访问用户信息库获取用户信息。
1.提高用户体验：用户只需登录一次，即可方便地切换系统，不需要在每个系统中都输入用户名和密码，提高了用户的使用便捷性和体验。
2.提高工作效率：用户单点登录可以减少用户因为频繁登录而浪费的时间，提高了工作效率。
3.统一安全管理：通过用户单点登录方案，企业可以更好地管理用户的权限和安全策略，减少安全漏洞的风险。
1.确定需要单点登录的系统范围：确定需要实施单点登录的系统范围，包括企业内部的各个系统或与其他企业间的系统。
2.设计认证中心：设计一个认证中心，用于验证用户的身份和生成访问令牌。
该认证中心应该包含用户信息库和实现认证逻辑的代码。
3.配置单点登录代理：将单点登录代理部署到各个系统中，用于验证访问令牌的有效性。
配置单点登录代理时，需要指定认证中心的地址和相关参数。
4.集成认证中心和系统：将认证中心和各个系统进行集成，包括认证中心和用户信息库的集成、认证中心和单点登录代理的集成，以及系统和单点登录代理的集成。
单点登录的具体实现流程
单点登录（Single Sign-On）是指在多个应用系统中，用户只需要登录一次，即可访问所有系统。
这种技术已经被广泛应用于企业级应用系统和互联网应用系统中。
本文将介绍单点登录的具体实现流程。
第一步：用户登录
用户首先在一个应用系统中进行登录。
这个应用系统被称为“认证中心”（Authentication Center），它负责管理用户信息、进行用户认证和生成加密凭据。
第二步：凭据生成
认证中心在完成用户认证后，会生成一个加密凭据，称为“令牌”（Token）。
这个令牌包含了用户的身份信息和相关权限。
第三步：令牌验证
用户在访问其他应用系统时，这些应用系统需要验证令牌的有效性。
应用系统会将这个令牌发送给认证中心进行验证。
第四步：令牌解密
认证中心接收到令牌请求后，会通过内部机制解密令牌，并对用户身份信息进行关联。
如果令牌有效，则会给出验证通过的响应。
第五步：应用系统访问
在令牌验证通过后，应用系统可以根据令牌中的身份信息和权限信息来进行用户相关操作。
总结
单点登录是一种方便用户的重要技术，它将多个应用系统打通，实现了一次登录即可访问多个应用系统。
单点登录实现的主要流程包括，用户登录、凭据生成、令牌验证、令牌解密和应用系统访问。
通过单点登录这个技术手段，真正实现了方便快捷的用户体验。
统一认证与单点登录系统-产品需求规格说明 书
统一认证与单点登录系统-产品需求规格说明书(共26页)-本页仅作为预览文档封面，使用时请删除本页-统一认证与单点登录系统产品需求规格说明书北京邮电大学版本历史目录0文档介绍 ........................................... 错误!未定义书签。
文档目的 ........................................ 错误!未定义书签。
文档范围 ........................................ 错误!未定义书签。
读者对象 ........................................ 错误!未定义书签。
参考文档 ........................................ 错误!未定义书签。
术语与缩写解释................................... 错误!未定义书签。
1产品介绍 ........................................... 错误!未定义书签。
2产品面向的用户群体.................................. 错误!未定义书签。
3产品应当遵循的标准或规范 ............................ 错误!未定义书签。
4产品范围 ........................................... 错误!未定义书签。
5产品中的角色........................................ 错误!未定义书签。
6产品的功能性需求.................................... 错误!未定义书签。
功能性需求分类................................... 错误!未定义书签。
产品形态..................................... 错误!未定义书签。
单点登录系统的设计与实现
单点登录系统的设计与实现
随着互联网的发展，人们在不同的网站和应用上拥有很多个账号和密码，为了方便用户的使用，单点登录系统（Single Sign-On，简称SSO）应运而生。
单点登录系统是一个在多个应用系统中对用户进行身份认证和授权的解决方案，用户只需要登录一次，就可以在不同的系统中访问受限资源。
设计与实现一个高效可靠的单点登录系统是一个复杂的任务，下面是一个大致的设计框架。
1.用户身份认证
用户访问一个应用系统时，首先需要进行身份认证。
常用的认证方式包括用户名/密码认证、短信验证码认证、第三方登录认证等。
在单点登录系统中，可以选择其中一种或多种认证方式。
2.生成令牌
认证成功后，单点登录系统会为用户生成一个令牌。
令牌包含用户的身份信息、访问权限等相关信息。
令牌可以是一个加密的字符串，也可以是一个包含身份信息的加密cookie。
3.令牌管理
4.令牌传递
5.会话管理
6.安全性考虑
7.日志与监控
总结：单点登录系统的设计与实现是一个复杂而庞大的系统工程，上述只是一个大致的设计框架。
在实际的设计和实现中，还需要考虑更多的细节和问题，如高可用性、性能优化、跨域访问等。
设计和实现一个可靠且安全的单点登录系统需要综合考虑系统的需求、用户体验和安全性，是一个综合性的挑战。
单点登录流程描述
单点登录流程描述
内容:
单点登录(Single Sign On,SSO)是一种用户通过单一的登录过程就可以访问多个相关但彼此独立的系统的方法。
单点登录的工作流程如下:
1. 用户打开浏览器,访问需要登录的应用系统A。
2. 应用系统A将用户重定向到身份提供者(IdP)进行认证。
3. 用户在IdP系统登录,成功认证后IdP生成令牌并重定向用户回应用系统A。
4. 应用系统A收到令牌,向IdP验证令牌有效性。
5. IdP验证令牌有效,返回确认信息给应用系统A。
6. 应用系统A通过令牌解析用户身份,完成登录,用户可以访问系统A 的资源。
7. 当用户访问应用系统B时,系统B发现用户已经登录过IdP,直接重定向用户带着令牌到IdP。
8. IdP验证令牌仍在有效期内,直接向应用B确认登录,用户可以访问系统B。
9. 用户只需要在IdP系统登录一次,就可以通过验证在多个应用系统中获得登录状态,实现了单点登录。
以上是单点登录的一个基本工作流程,实际系统可以更复杂,加入额外的安全验证等机制。
但核心思想都是通过中心认证系统实现一次登录多系统有效。
SGMW单点登录系统用户手册__V4.0
单点登录系统用户手册_服务站用户山水慧普信息技术无锡有限公司2013年5月版本记录Copyright © 2010-2012SSHP. All Rights Reserved. 山水慧普版权所有第2页共14页目录1引言 (4)1.1系统名称 (4)1.2预期的读者和阅读建议 (4)1.3缩略语定义 (4)2系统介绍 (5)3功能介绍 (6)3.1登录系统 (6)3.2系统管理 (8)3.2.1用户管理 (8)3.2.2角色管理 (10)3.3修改密码 (14)Copyright © 2010-2012SSHP. All Rights Reserved. 山水慧普版权所有第3页共14页1 引言1.1 系统名称单点登录系统1.2 预期的读者和阅读建议预期读者：服务站用户，项目小组/关键用户，IT数据支持人员；阅读建议：服务站用户需要阅读全部内容，其他人员以此文档作为了解和使用本系统的参考手册。
1.3 缩略语定义SGMW：上汽通用五菱汽车股份有限公司；系统：单点登录系统。
Copyright © 2010-2012SSHP. All Rights Reserved. 山水慧普版权所有第4页共14页2 系统介绍由于SGMW目前使用的系统比较多，且考虑到今后还会有扩展的需求，需要建立一个上汽通用五菱的服务商门户，免除用户需要多次登录不同的系统带来的麻烦。
本系统是由服务站和总部的管理员使用，涵盖了维修网点管理、系统管理和修改密码三大功能模块。
本文档为提供给服务站用户的指导手册，其中，服务站管理员可以使用的功能有：系统管理和修改密码两大功能模块；服务站成员只有修改密码的功能。
本文档对用户管理功能进行了详细的说明。
Copyright © 2010-2012SSHP. All Rights Reserved. 山水慧普版权所有第5页共14页3 功能介绍3.1 登录系统服务站用户在浏览器中输入上汽通用五菱服务商门户访问地址/portal，进入门户登录页面，如图3-1-1所示：图3-1-1注意：每个服务站默认最多可以登录5个MAC地址（MAC地址由总部统一管理）。