SSO笔记

news2025/10/31 18:21:40

自己学习做的笔记.没有具体代码

单点登录:多系统,单一位置登录,实现多系统同时登录的一种技术.

也就是说多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。

和三方登录Oauth2是有区别的.Oauth2属于三方登录.通常是某系统,使用其他系统的用户,实现本系统登录的方式.比如京东中使用微信登录

我们可以通过Oauth2实现单点登录,但是Oauth2不是单点登录

单点登录和三方登录不是一回事,不要混肴

解决单点登录的实现方案很多,Session跨域,SpringSession共享,NginxSession共享,最主要，最常用的通过Token技术实现.相对来说用Session和JWT来实现单点登录的更多些

一、 Session 跨域

所谓 Session 跨域就是摒弃了系统（Tomcat）提供的 Session ，而使用自定义的类似 Session

的机制来保存客户端数据的一种解决方案。

如：通过设置 cookie 的 domain 来实现 cookie 的跨域传递。在 cookie 中传递一个自定义

的 session_id 。这个 session_id 是客户端的唯一标记。将这个标记作为 key ，将客户端需要保

存的数据作为 value ，在服务端进行保存（数据库保存或 NoSQL 保存）。这种机制就是 Session

的跨域解决。 绝大多数用 domain 来实现 cookie 的跨域传递实现,但是也可以用请求头信息实现.JWT技术一般用于头信息来实现跨域单点登录

-----------------------------------------------------------------------------------------------------------------------------

核心技术点:

1.HTTP,Cookie与Session

2.Cookie与Session的关系

3.Cookie,SSO令牌的载体

4.决定Cookie内容,生命周期和有效范围的7个属性

1)name和value key=value

2)expires 过期时间

3)path和domain

4)httpOnly(设置了HttpOnly的话用JS是获取不到cookie的)和secure(只在https时有效.http不可见)

5.JavaScript操作Cookie的方法 document.cookie(获取所有cookie字符串

C1=TEST1;C2=TEST2;C3=TEST3)

新增cookie document.cookie="c4=test4"

替换 document.cookie="c4=newtest4"

这里注意下,JS可以直接引入Cookie依赖操作

httpOnly不允许js操作,因此这里无法设置httpOnly,因为没任何意义

设置时间path document.cookie="c4=newtest4;expires="+[GMT时间]+";path=/xxxx;domain=www.amamaw.com;secure" secure这样写就是true

6.Java Web应用中操作Cookie的方法

7.filter.Web层拦截

大概的了解下Cookie

HttpSession session这个参数,有兴趣可以试试,有这个参数和没这个参数,对Cookie有什么影响

Cookie并没有真正的删除方式,可以设置存活时间,比如说cookie.setMaxAge(-1000),当浏览器接受到这个时候,认为该Cookie的存活时间已经过期,就不会再发送回服务端了.也可以进行Cookie覆盖,但是进行Cookie覆盖的时候必须name相同外Path,domain属性相同,不然浏览器会认为是两个不同的Cookie

注意:cookie存活时间设置为-1000 浏览器F12可能会看到还会携带过来,但是服务器接收时候是没有这个Cookie的存活时间设置为0的话,浏览器看不到携带过来,当然服务端也不能收到这应该是浏览器的原因

关于Path和domain可以自己测试,domain就是域,在域相同的时候会携带

关于Cookie的几点

1.过多过大的Cookie浪费网络流浪

2.不同浏览器对Cookie有个数限制

3.浏览器对Cookie有大小限制

4.Cookie保存在客户端,不要在Cookie里存放敏感信息

Cookie做为SSO令牌载体,伴随着的一个问题,既然Cookie创建后,域,Path等相同会伴随着每个请求,那该在什么时间点,读取Cookie对Cookie进行权限判断？肯定不会在每个业务请求都去判断

那么就可以扯到拦截层, Filter和Web的拦截器,监听器就不扯了吧,越扯越远写不完了

SpringBoot中实现过滤器的几种方式