單點(diǎn)登錄SSO（Single Sign On）說(shuō)得簡(jiǎn)單點(diǎn)就是在一個(gè)多系統(tǒng)共存的環(huán)境下，用戶在一處登錄后，就不用在其它系統(tǒng)中登錄，也就是用戶的一次登錄能得到其它全部系統(tǒng)的信任。單點(diǎn)登錄在大型站點(diǎn)里使用得很頻繁，比如像阿里巴巴這種站點(diǎn)，在站點(diǎn)的背后是成百上千的子系統(tǒng)，用戶一次操作或交易可能涉及到幾十個(gè)子系統(tǒng)的協(xié)作，假設(shè)每一個(gè)子系統(tǒng)都須要用戶認(rèn)證，不僅用戶會(huì)瘋掉，各子系統(tǒng)也會(huì)為這種反復(fù)認(rèn)證授權(quán)的邏輯搞瘋掉。實(shí)現(xiàn)單點(diǎn)登錄說(shuō)究竟就是要解決怎樣產(chǎn)生和存儲(chǔ)那個(gè)信任，再就是其它系統(tǒng)怎樣驗(yàn)證這個(gè)信任的有效性，因此要點(diǎn)也就下面幾個(gè)：

• 存儲(chǔ)信任
• 驗(yàn)證信任

僅僅要攻克了以上的問(wèn)題，達(dá)到了開頭講得效果就能夠說(shuō)是SSO。最簡(jiǎn)單實(shí)現(xiàn)SSO的方法就是用Cookie，實(shí)現(xiàn)流程例如以下所看到的：

不然發(fā)現(xiàn)以上的方案是把信任存儲(chǔ)在client的Cookie里，這樣的方法盡管實(shí)現(xiàn)方便但立刻會(huì)讓人質(zhì)疑兩個(gè)問(wèn)題：

• Cookie不安全
• 不能跨域免登

對(duì)于第一個(gè)問(wèn)題一般都是通過(guò)加密Cookie來(lái)處理，第二個(gè)問(wèn)題是硬傷，事實(shí)上這樣的方案的思路的就是要把這個(gè)信任關(guān)系存儲(chǔ)在client，要實(shí)現(xiàn)這個(gè)也不一定僅僅能用Cookie，用flash也能解決，flash的Shared Object API就提供了存儲(chǔ)能力。

一般說(shuō)來(lái)，大型系統(tǒng)會(huì)採(cǎi)取在服務(wù)端存儲(chǔ)信任關(guān)系的做法，實(shí)現(xiàn)流程例如以下所看到的：

以上方案就是要把信任關(guān)系存儲(chǔ)在單獨(dú)的SSO系統(tǒng)（暫且這么稱呼它）里，說(shuō)起來(lái)僅僅是簡(jiǎn)單地從client移到了服務(wù)端，但當(dāng)中幾個(gè)問(wèn)題須要重點(diǎn)解決：

• 怎樣高效存儲(chǔ)大量暫時(shí)性的信任數(shù)據(jù)
• 怎樣防止信息傳遞過(guò)程被篡改
• 怎樣讓SSO系統(tǒng)信任登錄系統(tǒng)和免登系統(tǒng)

對(duì)于第一個(gè)問(wèn)題，一般能夠採(cǎi)用相似與memcached的分布式緩存的方案，既能提供可擴(kuò)展數(shù)據(jù)量的機(jī)制，也能提供高效訪問(wèn)。對(duì)于第二個(gè)問(wèn)題，一般採(cǎi)取數(shù)字簽名的方法，要么通過(guò)數(shù)字證書簽名，要么通過(guò)像md5的方式，這就須要SSO系統(tǒng)返回免登URL的時(shí)候?qū)π栩?yàn)證的參數(shù)進(jìn)行md5加密，并帶上token一起返回，最后需免登的系統(tǒng)進(jìn)行驗(yàn)證信任關(guān)系的時(shí)候，需把這個(gè)token傳給SSO系統(tǒng)，SSO系統(tǒng)通過(guò)對(duì)token的驗(yàn)證就能夠辨別信息是否被改過(guò)。對(duì)于最后一個(gè)問(wèn)題，能夠通過(guò)白名單來(lái)處理，說(shuō)簡(jiǎn)單點(diǎn)僅僅有在白名單上的系統(tǒng)才干請(qǐng)求生產(chǎn)信任關(guān)系，同理僅僅有在白名單上的系統(tǒng)才干被免登錄。

以上僅僅是提供了些簡(jiǎn)單的實(shí)現(xiàn)技術(shù)，但須要強(qiáng)調(diào)的是這僅僅是技術(shù)實(shí)現(xiàn)而已，僅僅是為了解決上面談到的一些問(wèn)題，SSO本身來(lái)說(shuō)并非什么高科技，有了這個(gè)認(rèn)識(shí)比較有利于我們深入探索SSO

?