单点登录SSO：概述与示例

原文是一个系列：，曾上博客园推荐榜首。建议看原文，此处排版全乱了。转载需注明原文链接。

本系列将由浅入深的，带大家掌握最新单点登录SSO方案选型，以及架构开发实战。系列将结合示例、源码以及演示视频，让大家能够直观、深入学习。

文末附5个满足不同单点登录场景的gif演示。本系列后继文章会深入它们的实现方式以及适用场景，大家也可以先观看揣摩其实现。单点登录即Single Sign On（SSO）。它是大型政府OA、企事业单位OA的标配解决方案。它概言之就是在多个Web、桌面或移动应用系统中，用户只需要登录一次，就可以访问所有的应用系统。

从业十多年，为政府、电信、跨国公司顾问和实施的单点登录解决方案无数，深谙其痛点与关键。

和很直观猜测相反，单点登录方案的定制性很强。很多企业的单点登录，实施是有问题的。尤其是被一些软件产品的销售人员牵着走的企业，它的单点登录方案实施，从产品方案选型起就存在根本性问题。这些方案常常要求大量现有业务系统的改造（基于统一身份认证服务，采用OpenId，OAuth，SAML等技术创建和传递认证凭据），或者只是体验较差的类似浏览器自动填充账号密码的功能（如Oracle的ESSO）。它们要么改动面大、周期长，要么服务端和客户端局限性多，用户体验也达不到最佳。

3、要根据自己的实际需求来决定具体型号，搭载桌面级处理器的机器不一定就适合你，移动级处理器同样能应付绝大部分需求，在游戏等应用上是不输桌面级处理器的。3、采用b/s架构，单一地址登录，一个平台上即可完成所有主机、桌面、模板、终端、用户等对象的管理工作。zx-200系列适用于桌面、便捷终端、服务器、嵌入式，更加精巧，支持四条pci-e 3.0总线、九条pci-e 2.0总线、两个usb 3.1 gen.2/三个usb 3.1 gen.1/六个usb 2.0接口、四个sata 6gbps接口，并有来那个号的io扩展，可满足多种市场应用需求。

很多单点登录解决方案的实施，由于顾问的经验、视野或产品倾向性原因，往往导致了这些结果：

cpux-x (core 2.4g 3m缓存)内存x 相当于ddriii x光驱xw驱动器硬盘x sata xrpm显卡：集成x卡：集成xx卡标准外设：光电鼠标ibm 单点登录，商用防水键盘（为数据安全起见，鼠标键盘均使用ps/2接口）显示器x寸lcd（与主机同一品牌），国家能效1级认证。其次，网站建设往往从信息发布起步，会逐步基于网站实际需求集成更多的业务应用或者跨域跨平台整合各种数据，这要求网站管理系统具有良好的平台型架构，提供易于拓展的二次开发接口和数据交互接口，方便用户更多的增值需求和与其他系统相集成。cpu：i3-3240 (core 2.4g 3m缓存)内存：2g 相当于ddriii 1600 光驱：dvdrw驱动器硬盘：500g sata 7200rpm 显卡：集成声卡：集成网卡：集成10/100/1000m网卡标准外设：光电鼠标，商用防水键盘（为数据安全起见，鼠标键盘均使用ps/2接口）显示器：19寸lcd（与主机同一品牌），国家能效1级认证。

其实，百分之九十以上的业务场景，我们都可以通过不止一种方式，在不改造现有系统的情况下，实现它对单点登录的支持。下文会给出多个示例、github源码，以及演示视频。

加强政务数据资源的关联分析和融合利用，引入社会力量依托大数据创新应用技术综合分析政务服务需求，基于办事信息开展跨领域、跨渠道的挖掘分析，实现政务服务多终端个性化精准推送，提升政务服务质量和效率。 误区五：兼容充电器也可以使用 笔记本电脑的耗电远大于手机，最极端的情况下，电源需要同时为电池充电并且应付机器全速运行所需的供电，笔记本电脑一般没有兼容充电器，因为各个机型的电压，电流，甚至接口都不同，能够通用于多种笔记本的“兼容充电器”很可能比原装的充电器还要贵，即使是接口相同，如果电压和电流低于机器的标称数值，机器全速工作的时候电池可能就无法获得足够的充电电流，这对电池的损害是很大的。极光推送当前已为超过30000家企业及个人开发商，60000多款移动应用提供稳定的毫秒级送达移动消息推送方案，服务总用户数已经超过7亿，覆盖近4亿android和ios终端，日活跃推送用户超过7000万。

作为一名美容的应届大学毕业生，我希望从美容顾问这个职位开始我的职业生涯，虽然我没有丰富的工作经验，但是我知道美容顾问的职责是将顾客引入店内，详细询问顾客的需求并解答顾客的一些美容困惑，再将顾客推荐到合适的美容师那里，最后仍然由美容顾问处理好此次服务的一些善后工作。嗜好：看书、保养头发、解决面部难题，尝试各种美容技术及保养品，朋友都称她的爱美已到达疯狂地步，固有“美容大王”的称号ibm 单点登录，她把自己的美容心得写成《美容大王1》及《美容大王2》两本书、均大受读者欢迎，有非常高的销量，《美容大王1》现已破百万的销售量：芒果、黄玉米、空心菜。 *大赛采取美容顾问（vip顾客除外）（以下统称“参赛美容顾问”）和顾客组队参赛的形式，以下“参赛美容顾问”和“参赛顾客”合称为“参赛选手”。

相比之下，在pc端建立socket服务端口前端的socket客户端连接的方案更加实用，在多客户端的情况下，便于管理，不需要对前端进行域名绑定。为确保网站身份真实，ssl安全证书只能用于已被认证的网站域名上，如当前网站域名与安全证书已认证的域名不一致，浏览器会提示“安全证书不受信任”。花生壳动态域名解析服务是目前全球用户量最多的动态域名解析服务，使用花生壳动态域名解析服务后，可以将您的动态公网ip和域名进行实时绑定，无论您在何地，只要您可以上网，都可以通过激活花生壳服务的域名从外网访问您的服务。

统一身份管理主要是针对企业账户安全领域。它的主要作用，简而言之就是在一个地方管理所有系统账号的创建和终止，避免一个员工离职要到多个应用管理部门做账号删除，很容易出现漏删账号，导致企业信息安全问题。针对很多大型组织架构来讲，它确实也非常必要，我个人实施顾问的很多企业确实也非常需要，后面我会撰文详述这一块的经验心得。这方面现成产品有诸如Oracle的OIM，IBM的Tivoli IM，都是光买授权就动辄上百万的产品（具体费用和用户数、服务器等相关），它们的特点是针对很多大型应用诸如SAP、Lotus Notes等等都有现成的连接器来做账号资源的推拉（Provision/Reconciliation）。但对于没有现成连接器的产品，需要定制开发，这块对于实施人员要求很高，而且后期的维护、新应用的集成基本都完全依赖第三方，成本高昂。

SSO实施和业务系统开发不同，它是技术点密集但工作量少的业务。如果你的开发人员还要为“如何跨域传token”、“如何读写AD”之类现学摸索，那实施结果往往存在较大安全漏洞，也会导致工期不可预测。这一块的很多现成产品都有特定的实施要求和局限性（本人曾填坑Oracle的OIM 和 ESSO），加之实施人员对产品熟悉程度不一，导致企业稍有自身特定的情况，就会要花费大量工时研究调整，甚至最终无法按需交付。

先来几组单点登录方案演示吧，本系列后继文章会深入它们的具体实现方式以及适用场景。

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-107566-1.html