大厂架构演进实战之手写 CAS 单点登录

清疚 2022-11-17 13:36 26阅读 0赞

**什么是单点登录**

单点登录在大型网站里使用得非常频繁，那么什么是单点登录？一句话解释：**一处登录，处处登录。**

比如，淘宝和天猫都属于阿里旗下，账号也是通用的，一个账号即可以登录淘宝，又可以登录天猫，这样也是为了方便用户，如果每个子系统都需要单独注册账号的话就太麻烦了，所以是统一账户可以登录同属于一家公司的所有子系统。

那么这些子系统每次都需要登录吗？肯定不是的，比如淘宝登录之后，你在访问天猫就不需要登录，系统会自动识别完成登录的，这就是单点登录。所以单点登录要解决的就是，用户只需要登录一次就可以访问所有相互信任的应用系统。

单点登录（Single Sign On），简称为 **SSO**，是目前比较流行的企业业务整合的解决方案之一。SSO 并不能算是一种架构，只能说是一个解决方案。SSO 核心意义就一句话:一处登录，处处登录；一处注销，处处注销。

就是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统，即用户只需要记住一组用户名和密码就可以登录所有的子系统。

举个现实生活中的例子：旅游年票大家都应该知道，就是买一张票，所有景点都可以去，旅游年票就是单点登录的思想。大家想想如果你没有这张年票，假如你来西安旅游，你今天去大雁塔需要买票，明天去钟楼还需要买票，后天去兵马俑还得买一次票，也就是说每去一个景点都得买一张票。

你参观西安的每个旅游景点都需要买一次票，是不是就相当于你访问一个大型应用的每个子系统都需要进行登录？这样就比较麻烦，怎么解决呢？你买一张西安的旅游年票不就好了么，有了这张年票，你去哪个任何一个景点都是直接进，不需要再买票了。

这个年票是不是就相当于，你只需要登录一次，之后在一个大型应用的所有子系统中都可以自动登录，不需要再输入账户密码了，这就是单点登录的思想。

**单点登录实现原理**

我们用淘宝和天猫为例给大家讲解单点登录的实现原理，大致如下。

1、当用户第一次访问应用淘宝的时候，因为还没有登录，会被引导到认证系统中进行登录。

2、根据用户提供的登录信息， 认证系统进行身份效验，如果通过效验， 则登录成功，并返回给用户一个认证的凭据 token。

3、当用户访问天猫时， 就会将这个 token 带上，作为自己认证的凭据。

4、应用系统接受到请求之后会把 token 送到认证系统进行校验，检查 token 的合法性。

5、如果通过校验，用户就可以在不用再次登录的情况下访问天猫了。

如果你还不太懂，楠哥给你画了张图，一看就懂的那种。

![图片][1976d7d3c358a4a86ff5bdee61dfd00a.png]

**单点登录解决方案**

SSO 是一种思想，具体的解决方案有很多，目前业内比较常用的有以下 3 种：

**1、OAuth2**

主要用来做第三方登录授权，第三方系统访问主系统资源，用户无需将主系统的账号告知第三方，只需通过主系统的授权，第三方就可使用主系统的资源。

最常见的就是 APP 需使用微信支付，当你在京东买东西使用微信支付时，会自动提示用户是否授权，用户授权后，京东就可使用微信支付功能了，京东和微信是有合作关系的。

所以 OAuth2 是用来允许用户授权的第三方应用，访问用户已经登录过的另外一个服务器上的资源，的一种协议，它不是用来做单点登录的，但我们可以利用它来实现单点登录。

**2、JWT**

Json web token （JWT），是为了在网络应用之间传递信，息而执行的一种基于 JSON 的开放标准，难度较大，需要了解很多协议，所以它是一种偏向底层的东西，需要你基于 JWT 认证协议，自己开发 SSO 服务和权限控制。

**3、CAS**

Central Authentication Service（中央认证服务），CAS 是耶鲁大学发起的一个开源项目，为 Web 应用系统提供的单点登录解决方案，实现多个系统只需登录一次，无需重复登录，支持 Java、PHP、.NET 等语言。

CAS 包含两个部分：CAS Server 和 CAS Client

CAS Server 和 CAS Client 分别独立部署，CAS Server 主要负责认证工作。

CAS Client 负责处理对客户端资源的访问请求，需要登录时，重定向到 CAS Server 进行认证。

我们以 CAS 为例，自己写一套代码的实现，以此来彻底搞清楚 SSO，下面开始撸代码啦。

**手写 CAS**

正式开撸之前，我们先来分析 CAS 流程。

1、授权服务器保存一个全局 session，多个客户端各自保存自己的 session。

2、客户端登录时判断自己的 session 是否已登录，若未登录，则（告诉浏览器）重定向到授权服务器（参数带上自己的地址，用于回调）。

3、授权服务器判断全局的 session 是否已登录，若未登录则定向到登录页面，提示用户登录，登录成功后，授权服务器重定向到客户端（参数带上 token）。

4、客户端收到 Token 后，请求服务器获取用户信息。

5、服务器同意客户端授权后，服务端保存用户信息至全局 session，客户端将用户保存至本地 session。

**代码实现**

1、创建客户端 ssoclienttaobao ，完成 Controller 跳转 index.html 的逻辑。‍

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *

@Controllerpublic class TaobaoController {
       
        @GetMapping("/taobao")    public String index(){
               return "index";    }}

2、添加拦截器 TaobaoInterceptor。

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *

public class TaobaoInterceptor implements HandlerInterceptor {
           @Override    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
               //判断会话是否存在        HttpSession session = request.getSession();        Boolean isLogin = (Boolean) session.getAttribute("isLogin");        if(isLogin!=null && isLogin){
                   return true;        }        //判断token        String token = request.getParameter("token");        if(!StringUtils.isEmpty(token)){
                           }        //token为空，登录认证        SSOClientUtil.redirectToCheckToken(request, response);        return false;    }}

3、创建配置类，使拦截器生效。

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *

@Configurationpublic class InterceptorConfiguration implements WebMvcConfigurer {
       
        @Override    public void addInterceptors(InterceptorRegistry registry) {
               String[] addPathPattrens = {"/taobao"};        registry.addInterceptor(new TaobaoInterceptor()).addPathPatterns(addPathPattrens);    }}

4、创建认证中心 ssoserver，实现 checkToken 方法。‍

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *

@Controllerpublic class SSOServerController {
       
        @GetMapping("/checkToken")    public String checkToken(String redirectUrl, HttpServletRequest request,HttpSession session, Model model){
               String token = (String) session.getServletContext().getAttribute("token");        if(StringUtils.isEmpty(token)){
                   model.addAttribute("redirectUrl", redirectUrl);            return "login";        }else{
                   return "";        }    }}

5、实现 login 方法，登录成功，重新回到 ssoclienttaobao 客户端。

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *

@PostMapping("/login")public String login(String username,String password,String redirectUrl,HttpSession session,Model model){
           if("admin".equals(username) && "123123".equals(password)){
               String token = UUID.randomUUID().toString();        session.getServletContext().setAttribute("token", token);        MockDB.tokenSet.add(token);        return "redirect:"+redirectUrl+"?token="+token;    }else{
               return "login";    }}

1、再次进入 ssoclienttaobao 客户端拦截器，此时有 token，进行验证。

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *

//判断tokenString token = request.getParameter("token");if(!StringUtils.isEmpty(token)){
           //token存在，进行验证    String httpUrl = SSOClientUtil.SERVER_HOST_URL+"/verify";    HashMap<String,String> params = new HashMap<>();    params.put("token", token);    String isVerify = HttpUtil.sendHttpRequest(httpUrl, params);    if("true".equals(isVerify)){
               //验证通过        Cookie cookie = new Cookie("token", token);        response.addCookie(cookie);        session.setAttribute("isLogin", true);        return true;    }}

7、实现 ssoserver 的 verify 方法。

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *

@PostMapping("/verify")@ResponseBodypublic String verifyToken(String token){
           if(MockDB.tokenSet.contains(token)){
               return "true";    }    return "false";}

8、ssoclienttaobao 登录逻辑完成，创建另外一个客户端 ssoclienttmall，完成 Controller 跳转 index.html 的逻辑。

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *

@Controllerpublic class TmallController {
       
        @GetMapping("/tmall")    public String index(){
               return "index";    }}

9、创建拦截器 TmallInterceptor。

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *

public class TmallInterceptor implements HandlerInterceptor {
           @Override    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
               HttpSession session = request.getSession();        Boolean isLogin = (Boolean) session.getAttribute("isLogin");        if(isLogin != null && isLogin){
                   return true;        }        String token = request.getParameter("token");        if(!StringUtils.isEmpty(token)){
                   String httpUrl = SSOClientUtil.SERVER_HOST_URL+"/verify";            HashMap<String,String> params = new HashMap<>();            params.put("token", token);            String isVerify = HttpUtil.sendHttpRequest(httpUrl, params);            if("true".equals(isVerify)){
                       Cookie cookie = new Cookie("token", token);                response.addCookie(cookie);                session.setAttribute("isLogin", true);                return true;            }        }        SSOClientUtil.redirectToCheckToken(request, response);        return false;    }}

10、创建拦截器配置类 InterceptorConfiguration。

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *

@Configurationpublic class InterceptorConfiguration implements WebMvcConfigurer {
           @Override    public void addInterceptors(InterceptorRegistry registry) {
               String[] addPathPattrens = {"/tmall"};        registry.addInterceptor(new TmallInterceptor()).addPathPatterns(addPathPattrens);    }}

11、我们的逻辑是先让 taobao 登录，然后 tmall 登录的时候 ssoserver 直接检测全局 token 即可（taobao 登录成功会存入全局 token），所以接下来完善 ssoserver checkToken 的方法。

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *

@GetMapping("/checkToken")public String checkToken(String redirectUrl, HttpServletRequest request, HttpSession session, Model model){
           String token = (String) session.getServletContext().getAttribute("token");    if(StringUtils.isEmpty(token)){
               model.addAttribute("redirectUrl", redirectUrl);        return "login";    }else{
               Cookie[] cookies = request.getCookies();        for (Cookie cookie : cookies) {
                   if(cookie.getValue().equals(token)){
                       return "redirect:"+redirectUrl+"?token="+token;            }        }        model.addAttribute("redirectUrl", redirectUrl);        return "login";    }}

到目前为止，单点登录的逻辑全部实现了，楠哥再给大家梳理一下思路。

（1）taobao 首先访问，被拦截，检测到没有 token，进入 ssoserver 的 checktoken 方法，此时全局 token 为空，进入登录页面，完成登录逻辑，生成 token 存入全局 token，并且将 token 存入数据库，再带着这个 token 返回 taobao。

（2）进入 taobao 拦截器，有 token，进行验证，进入 ssoserver 的 verify 方法，从数据库中查询，token 存在，则返回 true。

（3）回到 taobao 拦截器，结果为 true，将 token 存入 Cookie（给 tmall 检测使用），并将 isLogin = true 存入本地 session，返回 true，通过拦截器，进入页面，taobao 登录逻辑完成。

（4）tmall 访问，被拦截，检测到没有 token，进入 ssoserver 的 checktoken 方法，此时全局 token 存在，则对比 Cookie，如果 Cookie 中没有相等的 token，则登录，如果有相等的 token，则表示其他子项目（taobao）已登录过，tmall 不需要再次登录，带着这个 token 返回 tmall。

（5）进入 tmall 拦截器，有 token，进行验证，进入 ssoserver 的 verify 方法，从数据库中查询，token 存在，则返回 true。

（6）回到 tmall 拦截器，结果为 true，将 token 存入 Cookie，并将 isLogin = true 存入本地 session，返回 true，通过拦截器，进入页面，tmall 登录逻辑完成。

实现了单点登录，接下来我们实现单点登出。

思路很简单：ssoserver 销毁 session，并且触发监听器，删除全局会话中的 token，删除数据库中的 token，通知所有客户端销毁 session，删除数据库中客户端登出 URL 集合。

1、taobao 和 tmall 两个客户端进入首页的方法需要将 ssoserver 的 logoutUrl 存入 model，给页面退出使用。

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *

@Controllerpublic class TaobaoController {
       
        @GetMapping("/taobao")    public String index(Model model){
               model.addAttribute("serverLogoutUrl", SSOClientUtil.getServerLogoutUrl());        return "index";    }}

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *

@Controllerpublic class TmallController {
       
        @GetMapping("/tmall")    public String index(Model model){
               model.addAttribute("serverLogoutUrl", SSOClientUtil.getServerLogoutUrl());        return "index";    }}

2、实现 ssoserver 的 logout 方法。

*   
 *   
 *   
 *   
 *

@GetMapping("/logout")public String logout(HttpSession session){
           session.invalidate();    return "login";}

3、创建监听器，监听 session 销毁的行为，分别让 taobao 和 tmall 客户端执行登出逻辑。

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *

@WebListenerpublic class SessionListener implements HttpSessionListener {
           @Override    public void sessionDestroyed(HttpSessionEvent se) {
               String token = (String) se.getSession().getServletContext().getAttribute("token");        se.getSession().getServletContext().removeAttribute("token");        MockDB.tokenSet.remove(token);        Set<String> set = MockDB.clientLogoutUrlMap.get(token);        Iterator<String> iterator = set.iterator();        while (iterator.hasNext()){
                   HttpUtil.sendHttpRequest(iterator.next(), null);        }        MockDB.clientLogoutUrlMap.remove(token);    }}

4、创建监听器配置类，让监听器生效。

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *

@Configurationpublic class ListenerConfiguration {
       
        @Bean    public ServletListenerRegistrationBean listenerRegistrationBean(){
               ServletListenerRegistrationBean servletListenerRegistrationBean = new ServletListenerRegistrationBean();        servletListenerRegistrationBean.setListener(new SessionListener());        return servletListenerRegistrationBean;    }}

5、基本逻辑实现完成，现在还差一步，给 MockDB 存入客户端的登出 URL，这一步在 token 验证过程中完成。

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *

@PostMapping("/verify")@ResponseBodypublic String verifyToken(String token,String clientLogoutUrl){
           if(MockDB.tokenSet.contains(token)){
               Set<String> set = MockDB.clientLogoutUrlMap.get(token);        if(set == null){
                   set = new HashSet<>();            MockDB.clientLogoutUrlMap.put(token, set);        }        set.add(clientLogoutUrl);        return "true";    }    return "false";}

6、客户端在验证的时候需要将各自的登出 URL 传给 ssoserver。

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *

@Overridepublic boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
           HttpSession session = request.getSession();    Boolean isLogin = (Boolean) session.getAttribute("isLogin");    if(isLogin != null && isLogin){
               return true;    }    String token = request.getParameter("token");    if(!StringUtils.isEmpty(token)){
               String httpUrl = SSOClientUtil.SERVER_HOST_URL+"/verify";        HashMap<String,String> params = new HashMap<>();        params.put("token", token);        params.put("clientLogoutUrl", SSOClientUtil.getClientLogoutUrl());        String isVerify = HttpUtil.sendHttpRequest(httpUrl, params);        if("true".equals(isVerify)){
                   Cookie cookie = new Cookie("token", token);            response.addCookie(cookie);            session.setAttribute("isLogin", true);            return true;        }    }    SSOClientUtil.redirectToCheckToken(request, response);    return false;}

*   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *   
 *

7、taobao、tmall 各自的 Controller 添加 logout 方法。

*   
 *   
 *   
 *   
 *

@PostMapping("/logout")public String logout(HttpSession session){
           session.invalidate();    return "redirect:/taobao";}

*   
 *   
 *   
 *   
 *

@PostMapping("/logout")public String logout(HttpSession session){
           session.invalidate();    return "redirect:/tmall";}

代码全部完成，以上就是手写 CAS 单点登录的整个过程，能看到这的小伙伴请一定要跟着楠哥的思路自己手撸一遍，彻底搞清楚单点登录的原理，源码链接

https://github.com/southwind9801/sso

如果看文章没有完全理解，**B 站搜索：楠哥教你学Java，或点击阅读原文**，关注楠哥的号，后期会在 B 站给小伙伴们**直播**讲解。如果楠哥的文章对你有帮助，请帮忙转发，分享给你身边的小伙伴，谢谢~

**推荐阅读**

**大家在看：**

1[.面试题：聊聊TCP的粘包、拆包以及解决方案][._TCP]

2.[spring中这些能升华][spring]代码的技巧，可能会让你爱不释手

3.[kafka两年,踩过那些坑][kafka]

4[.][][Redis6 多线程剖析][Redis6]

5[.Zookeeper 分布式锁 - 图解 - 秒懂][.Zookeeper _ - _ -]

6.[如何打造一支低效技术团队][Link 1]

7.[CTO丢给我《技术Leader的30条军规》：照着做，做不好滚回去写代码！][CTO_Leader_30]

关注我的公众号，和我一起，每天进步一点点

![图片][6d0cea41fa0da4842c92c8d2c1780c58.png]

[1976d7d3c358a4a86ff5bdee61dfd00a.png]: /images/20221022/f92b0d4b072446ba9a22e5af69a351ef.png
[._TCP]: http://mp.weixin.qq.com/s?__biz=MzU4NDc1NDMxMw==&mid=2247484573&idx=1&sn=aa4fc9c69024007d8174de02a4029e82&chksm=fd95b17bcae2386d8b97da458a71853d420c4e8dbcff8cb5ade17ed96ac9b27bae22b7d4e9a7&scene=21#wechat_redirect
[spring]: http://mp.weixin.qq.com/s?__biz=MzU4NDc1NDMxMw==&mid=2247484571&idx=1&sn=c40a64b0e9b2c1fabde59376c169096a&chksm=fd95b17dcae2386b0e15e75e4491094db58223cdb1f85af65eccd01df0f728c96cf2f8d6999f&scene=21#wechat_redirect
[kafka]: http://mp.weixin.qq.com/s?__biz=MzU4NDc1NDMxMw==&mid=2247484562&idx=1&sn=fcbffdb09327852f54f86f8a950b3704&chksm=fd95b174cae2386242ca7bcfec957ead1796083f0d89c98dfdd0a1b493dc7a019a76833a4866&scene=21#wechat_redirect
[.]: http://mp.weixin.qq.com/s?__biz=MzA5MjE3NDQ1Mw==&mid=2649711333&idx=1&sn=7097de7f5f505dc0d3d26ed076da1dae&chksm=886ae3ffbf1d6ae90e073c646a03c7cb2a03d4dc7498f243412ef12def9cf2841d65ed955f30&scene=21#wechat_redirect
[Redis6]: http://mp.weixin.qq.com/s?__biz=MzU4NDc1NDMxMw==&mid=2247484560&idx=1&sn=76844c9a4a0d1dde5385c6eab2b4afaf&chksm=fd95b176cae23860d616d5d6fece9b0a3a23daf700e6fbb1ac9e39be8025a0a26f73262ae138&scene=21#wechat_redirect
[.Zookeeper _ - _ -]: http://mp.weixin.qq.com/s?__biz=MzU4NDc1NDMxMw==&mid=2247484553&idx=1&sn=a607a489305d4973917151f3f607445c&chksm=fd95b16fcae23879b5346ec4b552d6f695f2fe3c575809ba3d452b4b11d14de8fac68e0f073c&scene=21#wechat_redirect
[Link 1]: http://mp.weixin.qq.com/s?__biz=MzU4NDc1NDMxMw==&mid=2247484577&idx=1&sn=a2e0a96a6fa450e8d7efc9976c12f81f&chksm=fd95b147cae2385111ecbe97982f9af894bafdff06c7852d6324f0549135a5d89d3024ad37c0&scene=21#wechat_redirect
[CTO_Leader_30]: http://mp.weixin.qq.com/s?__biz=MzU4NDc1NDMxMw==&mid=2247484575&idx=1&sn=20a3a6049dc642728be6f508726c8f9a&chksm=fd95b179cae2386f3ba8a35349fd210f3898e39fecfa255ba8e4519b8482a982b820b291dfb4&scene=21#wechat_redirect
[6d0cea41fa0da4842c92c8d2c1780c58.png]: /images/20221022/a0186f2565c1487eaff785147b033ded.png