统一认证单点登录集成方案

统一认证单点登录集成方案

系统提供独立的单点登录服务器，运行单点登录应用系统（以下简称SSO），SSO是一个WEB服务，提供统一用户账户的登入界面，并具有账户管理功能，如创建用户，对用户授权等操作。使用系统前，系统管理员需登录SSO维护子系统信息、创建用户账户并正确授权。注意：这里的授权是指分配账户具有访问哪些子系统的权限，而账户在各子系统中具有的菜单权限由各子系统自己管理。

一、用户登入

通过SSO提供的统一登入界面，实现用户登入功能。SSO会校验用户输入的用户名、密码及验证码信息，如果信息合法，将在一个欢迎页面中列出该用户账户具有访问权限的子系统列表，用户通过点击列表项进入对应的子系统。

SSO登入子系统时会向子系统传递当前登入用户的账户ID，子系统根据这个账户ID来确定该用户在本系统中的身份及对应的菜单权限。

（注意：这里指的账户ID是指一个全局唯一的用户编号，通常情况下是一个UUID序列）。

为了实现对SSO的完全信任，各子系统必须提供唯一的程序登入入口，SSO在完成用户登入后会调用子系统对应的登入入口，并传递

登入用户的账户ID，子系统在接收到SSO的登入请求后，首先需要确认SSO的身份，如果SSO身份合法，那么该登入操作被认为是可信的，否则子系统需要抛出错误信息并提示用户。

注意：这里的子系统登入入口指的是一个固定的URL地址，该地址接受GET方式的请求。

（注意：这里的SSO身份确认指的是确定登入请求发出端的IP 地址，必须与SSO的地址一致，SSO地址可以事先配臵在各子系统中）。

子系统登入成功后，子系统自行实现全站安全策略，在此不再作论述。

二、用户登出

SSO提供统一的用户登出接口，用户登出系统时，由子系统向SSO 发出用户登出请求，并传递用户的账户ID。SSO完成用户登出处理，并重新显示登入界面。

（注意：这里的登出接口指的是SSO提供的一个固定的URL地址，该地址接受GET方式的请求）。

三、切换子系统

SSO提供统一的切换子系统接口，用户需要切换子系统时，由子系统向SSO发出切换子系统请求，并传递用户的账户ID。SSO根据账户ID进行判断，如果该用户账户已经登录系统，则显示该用户账

户拥有访问权限的子系统列表，用户点击列表项完成子系统切换，否则跳转至系统登入界面。

（注意：这里的切换子系统接口指的是SSO提供的一个固定的URL地址，该地址接受GET方式的请求）。