java实现简单的单点登录（1）

java实现简单的单点登录

摘要 ：单点登录（ SSO ）的技术被越来越广泛地运用到各个领域的软件系统当中。本文从业务的角度分析了单点登录的需求和应用领域；从技术本身的角度分析了单点登录技术的内部机制和实现手段，并且给出 Web-SSO 和桌面 SSO 的实现、源代码和详细讲解；还从安全和性能的角度对现有的实现技术进行进一步分析，指出相应的风险和需要改进的方面。本文除了从多个方面和角度给出了对单点登录（ SSO ）的全面分析，还并且讨论了如何将现有的应用和 SSO 服务结合起来，能够帮助应用架构师和系统分析人员从本质上认识单点登录，从而更好地设计出符合需要的安全架构。

关键字 ： SSO, Java, J2EE, JAAS

1  什么是单点登陆

单点登录（ Single Sign On ），简称为  SSO ，是目前比较流行的企业业务整合的解决方案之一。 SSO 的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。

较大的企业内部，一般都有很多的业务支持系统为其提供相应的管理和 IT 服务。例如财务系统为财务人员提供财务的管理、计算和报表服务；人事系统为人事部门提供全公司人员的维护服务；各种业务系统为公司内部不同的业务提供不同的服务等等。这些系统的目的都是让计算机来进行复杂繁琐的计算工作，来替代人力的手工劳动，提高工作效率和质量。这些不同的系统往往是在不同的时期建设起来的，运行在不同的平台上；也许是由不同厂商开发，使用了各种不同的技术和标准。如果举例说国内一著名的 IT 公司（名字隐去），内部共有 60 多个业务系统，这些系统包括两个不同版本的 SAP 的 ERP 系统， 12 个不同类型和版本的数据库系统， 8 个不同类型和版本的操作系统，以及使用了 3 种不同的防火墙技术，还有数十种互相不能兼容的协议和标准，你相信吗？不要怀疑，这种情况其实非常普遍。每一个应用系统在运行了数年以后，都会成为不可替换的企业 IT 架构的一部分，如下图所示。

随着企业的发展，业务系统的数量在不断的增加，老的系统却不能轻易的替换，这会带来很多的开销。其一是管理上的开销，需要维护的系统越来越多。很多系统的数据是相互冗余和重复的，数据的不一致性会给管理工作带来很大的压力。业务和业务之间的相关性也越来越大，例如公司的计费系统和财务系统，财务系统和人事系统之间都不可避免的有着密切的关系。

为了降低管理的消耗，最大限度的重用已有投资的系统，很多企业都在进行着企业应用集成（ EAI ）。企业应用集成可以在不同层面上进行：例如在数据存储层面上的“数据大集中”，在传输层面上的“通用数据交换平台”，在应用层面上的“业务流程整合”，和用户界面上的“通用企业门户”等等。事实上，还用一个层面上的集成变得越来越重要，那就是“身份认证”的整合，也就是“单点登录”。

通常来说，每个单独的系统都会有自己的安全体系和身份认证系统。整合以前，进入每个系统都需要进行登录，这样的局面不仅给管理上带来了很大的困难，在安全方面也埋下了重大的隐患。下面是一些著名的调查公司显示的统计数据：

• 用户每天平均 16 分钟花在身份验证任务上 - 资料来源： IDS
• 频繁的 IT 用户平均有 21 个密码 - 资料来源： NTA Monitor Password Survey
• 49% 的人写下了其密码，而 67% 的人很少改变它们
• 每 79 秒出现一起身份被窃事件 - 资料来源：National Small Business Travel Assoc
• 全球欺骗损失每年约 12B - 资料来源：Comm Fraud Control Assoc
• 到 2007 年，身份管理市场将成倍增长至 $4.5B - 资料来源：IDS

 

使用“单点登录”整合后，只需要登录一次就可以进入多个系统，而不需要重新登录，这不仅仅带来了更好的用户体验，更重要的是降低了安全的风险和管理的消耗。请看下面的统计数据：

• 提高 IT 效率：对于每 1000 个受管用户，每用户可节省$70K
• 帮助台呼叫减少至少1/3，对于 10K 员工的公司，每年可以节省每用户 $75，或者合计 $648K
• 生产力提高：每个新员工可节省 $1K，每个老员工可节省 $350 �资料来源：Giga
• ROI 回报：7.5 到 13 个月 �资料来源：Gartner

 

另外，使用“单点登录”还是 SOA 时代的需求之一。在面向服务的架构中，服务和服务之间，程序和程序之间的通讯大量存在，服务之间的安全认证是 SOA 应用的难点之一，应此建立“单点登录”的系统体系能够大大简化 SOA 的安全问题，提高服务之间的合作效率。

2  单点登陆的技术实现机制

随着 SSO 技术的流行， SSO 的产品也是满天飞扬。所有著名的软件厂商都提供了相应的解决方案。在这里我并不想介绍自己公司（ Sun Microsystems ）的产品，而是对 SSO 技术本身进行解析，并且提供自己开发这一类产品的方法和简单演示。有关我写这篇文章的目的，请参考我的博客（ http://yuwang881.blog.sohu.com/3184816.html ）。

单点登录的机制其实是比较简单的，用一个现实中的例子做比较。颐和园是北京著名的旅游景点，也是我常去的地方。在颐和园内部有许多独立的景点，例如“苏州街”、“佛香阁”和“德和园”，都可以在各个景点门口单独买票。很多游客需要游玩所有德景点，这种买票方式很不方便，需要在每个景点门口排队买票，钱包拿进拿出的，容易丢失，很不安全。于是绝大多数游客选择在大门口买一张通票（也叫套票），就可以玩遍所有的景点而不需要重新再买票。他们只需要在每个景点门口出示一下刚才买的套票就能够被允许进入每个独立的景点。

单点登录的机制也一样，如下图所示，当用户第一次访问应用系统 1 的时候，因为还没有登录，会被引导到认证系统中进行登录（ 1 ）；根据用户提供的登录信息，认证系统进行身份效验，如果通过效验，应该返回给用户一个认证的凭据－－ ticket （ 2 ）；用户再访问别的应用的时候（ 3 ， 5 ）就会将这个 ticket 带上，作为自己认证的凭据，应用系统接受到请求之后会把 ticket 送到认证系统进行效验，检查 ticket 的合法性（ 4 ， 6 ）。如果通过效验，用户就可以在不用再次登录的情况下访问应用系统 2 和应用系统 3 了。

从上面的视图可以看出，要实现 SSO ，需要以下主要的功能：

• 所有应用系统共享一个身份认证系统。
  统一的认证系统是SSO的前提之一。认证系统的主要功能是将用户的登录信息和用户信息库相比较，对用户进行登录认证；认证成功后，认证系统应该生成统一的认证标志（ticket），返还给用户。另外，认证系统还应该对ticket进行效验，判断其有效性。
• 所有应用系统能够识别和提取ticket信息
  要实现SSO的功能，让用户只登录一次，就必须让应用系统能够识别已经登录过的用户。应用系统应该能对ticket进行识别和提取，通过与认证系统的通讯，能自动判断当前用户是否登录过，从而完成单点登录的功能。

 

上面的功能只是一个非常简单的 SSO 架构，在现实情况下的 SSO 有着更加复杂的结构。有两点需要指出的是：

• 单一的用户信息数据库并不是必须的，有许多系统不能将所有的用户信息都集中存储，应该允许用户信息放置在不同的存储中，如下图所示。事实上，只要统一认证系统，统一ticket的产生和效验，无论用户信息存储在什么地方，都能实现单点登录。

 

• 统一的认证系统并不是说只有单个的认证服务器，如下图所示，整个系统可以存在两个以上的认证服务器，这些服务器甚至可以是不同的产品。认证服务器之间要通过标准的通讯协议，互相交换认证信息，就能完成更高级别的单点登录。如下图，当用户在访问应用系统1时，由第一个认证服务器进行认证后，得到由此服务器产生的ticket。当他访问应用系统4的时候，认证服务器2能够识别此ticket是由第一个服务器产生的，通过认证服务器之间标准的通讯协议（例如SAML）来交换认证信息，仍然能够完成SSO的功能。

 

3 WEB-SSO 的实现

随着互联网的高速发展， WEB 应用几乎统治了绝大部分的软件应用系统，因此 WEB-SSO 是 SSO 应用当中最为流行。 WEB-SSO 有其自身的特点和优势，实现起来比较简单易用。很多商业软件和开源软件都有对 WEB-SSO 的实现。其中值得一提的是 OpenSSO  （ https://opensso.dev.java.net ），为用 Java 实现 WEB-SSO 提供架构指南和服务指南，为用户自己来实现 WEB-SSO 提供了理论的依据和实现的方法。

为什么说 WEB-SSO 比较容易实现呢？这是有 WEB 应用自身的特点决定的。

众所周知， Web 协议（也就是 HTTP ）是一个无状态的协议。一个 Web 应用由很多个 Web 页面组成，每个页面都有唯一的 URL 来定义。用户在浏览器的地址栏输入页面的 URL ，浏览器就会向 Web Server 去发送请求。如下图，浏览器向 Web 服务器发送了两个请求，申请了两个页面。这两个页面的请求是分别使用了两个单独的 HTTP 连接。所谓无状态的协议也就是表现在这里，浏览器和 Web 服务器会在第一个请求完成以后关闭连接通道，在第二个请求的时候重新建立连接。 Web 服务器并不区分哪个请求来自哪个客户端，对所有的请求都一视同仁，都是单独的连接。这样的方式大大区别于传统的（ Client/Server ） C/S 结构 , 在那样的应用中，客户端和服务器端会建立一个长时间的专用的连接通道。正是因为有了无状态的特性，每个连接资源能够很快被其他客户端所重用，一台 Web 服务器才能够同时服务于成千上万的客户端。

但是我们通常的应用是有状态的。先不用提不同应用之间的 SSO ，在同一个应用中也需要保存用户的登录身份信息。例如用户在访问页面 1 的时候进行了登录，但是刚才也提到，客户端的每个请求都是单独的连接，当客户再次访问页面 2 的时候，如何才能告诉 Web 服务器，客户刚才已经登录过了呢？浏览器和服务器之间有约定：通过使用 cookie 技术来维护应用的状态。 Cookie 是可以被 Web 服务器设置的字符串，并且可以保存在浏览器中。如下图所示，当浏览器访问了页面 1 时， web 服务器设置了一个 cookie ，并将这个 cookie 和页面 1 一起返回给浏览器，浏览器接到 cookie 之后，就会保存起来，在它访问页面 2 的时候会把这个 cookie 也带上， Web 服务器接到请求时也能读出 cookie 的值，根据 cookie 值的内容就可以判断和恢复一些用户的信息状态。

Web-SSO 完全可以利用 Cookie 结束来完成用户登录信息的保存，将浏览器中的 Cookie 和上文中的 Ticket 结合起来，完成 SSO 的功能。

 

为了完成一个简单的 SSO 的功能，需要两个部分的合作：

1. 统一的身份认证服务。
2. 修改Web应用，使得每个应用都通过这个统一的认证服务来进行身份效验。