什么是 单点登录

单点登录（Single Sign On），简称为 SSO ，是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。

我们目前的系统存在诸多子系统，而这些子系统是分别部署在不同的服务器中，那么使用传统方式的session是无法解决的，我们需要使用相关的单点登录技术来解决。

我们为何要单点登录系统

现在随着微服务的概念拆分的系统越来越多，对于服务与服务之间可以采用 分布式 服务通信，前台系统交互或终端与服务系统交互可以采用HTTP或 RESTful 接口通信。

什么是CAS

CAS 是 Yale 大学发起的一个开源项目，旨在为 Web 应用系统提供一种可靠的单点登录方法，CAS 在 2004 年 12 月正式成为 JA-SIG 的一个项目。CAS 具有以下特点：

【1】开源的企业级单点登录解决方案。

【2】CAS Server 为需要独立部署的 Web 应用。

【3】CAS Client 支持非常多的客户端(这里指单点登录系统中的各个 Web 应用)，包括 Java, .Net, PHP, Perl, Apache, uPortal, Ruby 等。

从结构上看，CAS 包含两个部分： CAS Server 和 CAS Client。CAS Server 需要独立部署，主要负责对用户的认证工作；CAS Client 负责处理对客户端受保护资源的访问请求，需要登录时，重定向到 CAS Server。

下面讨论以终端与服务系统之间的单点通信

通常单服务使用用户session或自定义令牌，流程如下：

1.请求服务A时，服务系统校验是否登录（是否有TOKEN）。

2.若不存在，则重定向SSO系统。

3.重定向登录，进行登录

4.认证登录信息

5.SSO系统重新请求服务（请求登录时的服务），带有认证成功TOKEN信息，服务系统保存APP请求的TOKEN令牌，并设置失效时间

6.服务系统返回结果，带APP认证的TOKEN令牌

7.APP再次请求服务时，需带着TOKEN令牌

8.服务直接认为已经认证通过，需要校验登录信息。直接返回服务结果

上面讲到分布式环境下，多个服务系统共享session即可实现单点登录。

解决方案

把session数据存放在 Redis 中，统一管理，并对redis设置过期时间，对应session失效时间。

此方案可以解决共享session问题

缺点

只要用户拿到TOKEN令牌就可以访问服务，此时对于安全方面不友好。

解决单点登录造成的安全问题

每次APP请求接口服务时，需要把请求参数进行加密传输。需在开发过程中APP与服务端协商采用哪种加密方式。

常用的加密方式如下：

base64编解码

base64其实不是安全领域下的加密解密 算法 。虽然有时候经常看到所谓的base64加密解密。其实base64只能算是一个 编码 算法，对数据内容进行编码来适合传输。虽然base64编码过后原文也变成不能看到的字符格式，但是这种方式很初级，很简单。

base64的实现

Base64编码方法要求把每三个8Bit的字节转换为四个6Bit的字节，其中，转换之后的这四个字节中每6个有效bit为是有效数据，空余的那两个 bit用0补上成为一个字节。因此Base64所造成数据冗余不是很严重，Base64是当今比较流行的编码方法，因为它编起来速度快而且简单

base64的优点

1.支持广泛，平台和语言支持都比较广泛，浏览器绝大多数都支持，直接可在前端编解码，很多加密算法的都有base64的应用。

2.在小图片base64后，可以减少请求，在某些场景下用途很大。

3.有些情况下传输不可见字符不方便，base64后都是可见字符。

4.能直接把二进制文件变成字符传输。

base64的缺点

1.他的编码方式注定会有三分之一的冗余

md5方式加密

MD5主要特点是

不可逆，相同数据的MD5值肯定一样，不同数据的MD5值不一样（也不是绝对的，但基本是不能一样的）。

MD5算法还具有以下性质：

1、压缩性：任意长度的数据，算出的MD5值长度都是固定的。

2、容易计算：从原数据计算出MD5值很容易。

3、抗修改性：对原数据进行任何改动，哪怕只修改1个字节，所得到的MD5值都有很大区别。

4、弱抗碰撞：已知原数据和其MD5值，想找到一个具有相同MD5值的数据（即伪造数据）是非常困难的。

5、强抗碰撞：想找到两个不同的数据，使它们具有相同的MD5值，是非常困难的。

MD5虽然说是不可逆的

混合加密

先采用base64编码，再进行 md5加密

—————————

微信公众号