CN103634269A - 单点登录系统及方法 - Google Patents

Abstract

本发明提出了单点登录系统及方法。其中，所述单点登录系统包括至少一个单点登录服务器以并行地处理登录和凭证验证操作。本发明所公开的单点登录系统及方法通过数据的共享缓存技术实现了单点登录服务器的集群化，从而通过并行处理的方式显著地提高了单点登录系统及方法的性能。

Description

单点登录系统及方法

技术领域

本发明涉及登录系统及方法，更具体地，涉及基于集群技术和共享缓存的单点登录系统及方法。

背景技术

目前，随着基于网络的应用的日益广泛以及不同领域的业务种类的日益丰富，用于单点登录（SSO，即用户只需登录一次就可以访问所有相互信任的跨域应用系统）的系统及方法变得越来越重要。

如图1所示，现有的基于CAS（Central Authentication Service）技术的单点登录系统及方法的基本工作原理如下：当用户通过客户端（例如浏览器）第一次访问位于应用服务器中的应用A时，其被重定向到单点登录服务器（即认证服务器）以执行登录操作；所述单点登录服务器对该用户进行身份验证，并且如果验证通过，则所述单点登录服务器向所述客户端返回用于认证的凭证（Ticket）；随后，当所述用户访问应用B时，应用B判断用户尚未登录，则将用户访问请求转发至单点登录服务器，单点登录服务器检测到用户之前已经登录过，则将用户请求报文转发至应用B，并带有用户已经在单点登录服务器中登录过的凭证，随之所述应用B将把所述凭证传送到所述单点登录服务器以验证其合法性，并且如果验证通过，则所述用户就可以在不用再次登录的情况下访问应用B，其中应用A和应用B可以位于同一物理实体的应用服务器内，也可以位于不同物理实体的应用服务器内。

然而，现有的单点登录系统及方法存在如下问题：由于仅使用单一的单点登录服务器，故其能够提供的并发性能有限，从而难于适用大数据量交互的情况。此外，现有的针对CAS技术的集群化改进方案（例如基于JbossCache的CAS集群技术）仍然存在如下问题：在大的并发情况下，由于数据交互量较大，故导致数据同步延时较大。

因此，存在如下需求：提供可以处理大量的并发数据交互的基于集群技术的单点登录系统及方法。

发明内容

为了解决上述现有技术方案所存在的问题，本发明提出了可以处理大量的并发数据交互的基于集群技术的单点登录系统及方法。

本发明的目的是通过以下技术方案实现的：

一种单点登录系统，所述单点登录系统包括：

客户端，所述客户端用于基于用户指令构造访问请求，并将所述访问请求传送到应用服务器中的目标应用；

应用服务器，所述应用服务器用于解析所述访问请求并基于解析结果判断当前访问请求的状态，以及如果当前访问请求的状态是“第一次访问”，则将所述访问请求转发到接入服务器；

接入服务器，所述接入服务器用于将接收到的所述访问请求分发到所述至少一个单点登录服务器中的一个；

至少一个单点登录服务器，所述至少一个单点登录服务器中的每个在接收到所述访问请求后执行如下操作：（a）在本地缓存器中查找与所述访问请求所对应的用户相关联的信息，并且如果查找到与所述访问请求所对应的用户相关联的信息，则生成与所述访问请求所对应的用户相关联的凭证，并将带有所述凭证的访问请求发送回所述应用服务器；（b）如果在本地缓存器中未查找到与所述访问请求所对应的用户相关联的信息，则在主共享缓存装置中查找与所述访问请求所对应的用户相关联的信息，并且如果查找到与所述访问请求所对应的用户相关联的信息，则生成与所述访问请求所对应的用户相关联的凭证，并将带有所述凭证的访问请求发送回所述应用服务器；（c）如果未在所述主共享缓存装置中查找到与所述访问请求所对应的用户相关联的信息，则经通信链路与所述访问请求所对应的用户进行交互以完成登录操作，并将与所述访问请求所对应的用户相关联的信息分别存储在本地缓存器和主共享缓存装置中；

主共享缓存装置，所述主共享缓存装置用于存储与所述访问请求所对应的用户相关联的信息。

在上面所公开的方案中，优选地，当接收到由所述至少一个单点登录服务器转发来的带有所述凭证的所述访问请求后，所述应用服务器执行所述凭证的验证过程，并且如果验证通过则接受与所述访问请求所对应的用户的访问。

在上面所公开的方案中，优选地，所述至少一个单点登录服务器以共享的方式使用所述主共享缓存装置。

在上面所公开的方案中，优选地，所述应用服务器可以由单一的物理实体构成，也可以由多个不同的物理实体的集合构成。

在上面所公开的方案中，优选地，所述单点登录系统进一步包括：

监控装置，所述监控装置用于定时监视所述至少一个单点登录服务器中的每个与所述主共享缓存装置之间的连接状态，并且当所述至少一个单点登录服务器中的任一个与所述主共享缓存装置之间的连接失败的次数超过预定的阈值时，所述监控装置向该单点登录服务器发送切换命令，从而使该单点登录服务器使用至少一个备用共享缓存装置中的一个作为新的主共享缓存装置；

至少一个备用共享缓存装置，所述至少一个备用共享缓存装置中的每个用于保持与所述主共享缓存装置的实时数据同步，并在所述主共享缓存装置发生故障时基于所述监控装置的选择而作为新的主共享缓存装置。

在上面所公开的方案中，优选地，所述主共享缓存装置利用MemCached共享缓存技术实现数据的共享。

在上面所公开的方案中，优选地，所述客户端是Web浏览器。

本发明的目的也可以通过以下技术方案实现：

一种单点登录方法，所述单点登录方法包括下列步骤：

（A1）客户端基于用户指令构造访问请求，并将所述访问请求传送到应用服务器中的目标应用；

（A2）所述应用服务器解析所述访问请求并基于解析结果判断当前访问请求的状态，以及如果当前访问请求的状态是“第一次访问”，则将所述访问请求转发到接入服务器；

（A3）所述接入服务器将接收到的所述访问请求分发到至少一个单点登录服务器中的一个；

（A4）所述至少一个单点登录服务器中的每个在接收到所述访问请求后执行如下操作：（a）在本地缓存器中查找与所述访问请求所对应的用户相关联的信息，并且如果查找到与所述访问请求所对应的用户相关联的信息，则生成与所述访问请求所对应的用户相关联的凭证，并将带有所述凭证的访问请求发送回所述应用服务器；（b）如果在本地缓存器中未查找到与所述访问请求所对应的用户相关联的信息，则在主共享缓存装置中查找与所述访问请求所对应的用户相关联的信息，并且如果查找到与所述访问请求所对应的用户相关联的信息，则生成与所述访问请求所对应的用户相关联的凭证，并将带有所述凭证的访问请求发送回所述应用服务器；（c）如果未在所述主共享缓存装置中查找到与所述访问请求所对应的用户相关联的信息，则经通信链路与所述访问请求所对应的用户进行交互以完成登录操作，并将与所述访问请求所对应的用户相关联的信息分别存储在本地缓存器和主共享缓存装置中。

本发明所公开的单点登录系统及方法具有如下优点：由于通过数据的共享缓存技术实现了单点登录服务器的集群化，即实现了多个单点登录服务器共同对外服务，从而通过并行处理的方式显著地提高了单点登录系统的性能。    

附图说明

结合附图，本发明的技术特征以及优点将会被本领域技术人员更好地理解，其中：

图1是现有的基于CAS技术的单点登录系统的示意性结构图；

图2是根据本发明的实施例的单点登录系统的示意性结构图；

图3是根据本发明的实施例的单点登录方法的流程图。

具体实施方式

图2是根据本发明的实施例的单点登录系统的示意性结构图。如图1所示，本发明所公开的单点登录系统包括客户端1、应用服务器2、接入服务器3、至少一个单点登录服务器4和主共享缓存装置6。其中，所述客户端1用于基于用户指令构造访问请求，并将所述访问请求传送到所述应用服务器2中的目标应用。所述应用服务器2用于解析所述访问请求并基于解析结果判断当前访问请求的状态，以及如果当前访问请求的状态是“第一次访问”（即该用户针对该目标应用是未登录过的，换句话说，该用户首次访问该目标应用），则将所述访问请求转发到接入服务器3。所述接入服务器3用于将接收到的所述访问请求分发到所述至少一个单点登录服务器4中的一个。所述至少一个单点登录服务器4中的每个在接收到所述访问请求后执行如下操作：（a）在本地缓存器中查找与所述访问请求所对应的用户相关联的信息（即已登录过），并且如果查找到与所述访问请求所对应的用户相关联的信息，则生成与所述访问请求所对应的用户相关联的凭证（Ticket），并将带有所述凭证的访问请求发送回所述应用服务器2；（b）如果在本地缓存器中未查找到与所述访问请求所对应的用户相关联的信息，则在主共享缓存装置6中查找与所述访问请求所对应的用户相关联的信息，并且如果查找到与所述访问请求所对应的用户相关联的信息（即已登录过），则生成与所述访问请求所对应的用户相关联的凭证（Ticket），并将带有所述凭证的访问请求发送回所述应用服务器2；（c）如果未在所述主共享缓存装置6中查找到与所述访问请求所对应的用户相关联的信息（即未登录过），则经通信链路与所述访问请求所对应的用户进行交互以完成登录操作，并将与所述访问请求所对应的用户相关联的信息分别存储在本地缓存器和主共享缓存装置6中。所述主共享缓存装置6用于存储与所述访问请求所对应的用户相关联的信息。

优选地，在本发明所公开的单点登录系统中，当接收到由所述至少一个单点登录服务器4转发来的带有所述凭证的所述访问请求后，所述应用服务器2执行所述凭证的验证过程（所述验证过程与常规的CAS技术相似，此处不再赘述），并且如果验证通过则接受与所述访问请求所对应的用户的访问（即进一步处理所述访问请求）。

优选地，在本发明所公开的单点登录系统中，所述至少一个单点登录服务器4以共享的方式使用所述主共享缓存装置6。

示例性地，在本发明所公开的单点登录系统中，所述应用服务器2可以由单一的物理实体构成，也可以由多个不同的物理实体的集合构成（其中，示例性地，所述多个不同的物理实体中的一个或多个可以是彼此异地的）。

优选地，本发明所公开的单点登录系统还包括监控装置5和至少一个备用共享缓存装置7。其中，所述监控装置5用于定时监视所述至少一个单点登录服务器4中的每个与所述主共享缓存装置6之间的连接状态，并且当所述至少一个单点登录服务器4中的任一个与所述主共享缓存装置6之间的连接失败的次数超过预定的阈值时，所述监控装置5向该单点登录服务器4发送切换命令，从而使该单点登录服务器4使用至少一个备用共享缓存装置7中的一个作为新的主共享缓存装置。所述至少一个备用共享缓存装置7中的每个用于保持与所述主共享缓存装置6的实时数据同步，并在所述主共享缓存装置6发生故障时基于所述监控装置5的选择而作为新的主共享缓存装置。

示例性地，在本发明所公开的单点登录系统中，所述主共享缓存装置6利用MemCached共享缓存技术实现数据的共享。

示例性地，在本发明所公开的单点登录系统中，所述客户端1是Web浏览器。

由上可见，本发明所公开的单点登录系统通过数据的共享缓存技术实现了单点登录服务器的集群化，即实现了多个单点登录服务器共同对外服务，从而通过并行处理的方式显著地提高了单点登录系统的性能。

图3是根据本发明的实施例的单点登录方法的流程图。如图3所示，本发明所公开的单点登录方法包括下列步骤：（A1）客户端基于用户指令构造访问请求，并将所述访问请求传送到应用服务器中的目标应用；（A2）所述应用服务器解析所述访问请求并基于解析结果判断当前访问请求的状态，以及如果当前访问请求的状态是“第一次访问”（即该用户针对该目标应用是未登录过的，换句话说，该用户首次访问该目标应用），则将所述访问请求转发到接入服务器；（A3）所述接入服务器将接收到的所述访问请求分发到至少一个单点登录服务器中的一个；（A4）所述至少一个单点登录服务器中的每个在接收到所述访问请求后执行如下操作：（a）在本地缓存器中查找与所述访问请求所对应的用户相关联的信息（即该用户已登录过），并且如果查找到与所述访问请求所对应的用户相关联的信息，则生成与所述访问请求所对应的用户相关联的凭证（Ticket），并将带有所述凭证的访问请求发送回所述应用服务器；（b）如果在本地缓存器中未查找到与所述访问请求所对应的用户相关联的信息，则在主共享缓存装置中查找与所述访问请求所对应的用户相关联的信息，并且如果查找到与所述访问请求所对应的用户相关联的信息（即已登录过），则生成与所述访问请求所对应的用户相关联的凭证（Ticket），并将带有所述凭证的访问请求发送回所述应用服务器；（c）如果未在所述主共享缓存装置中查找到与所述访问请求所对应的用户相关联的信息（即未登录过），则经通信链路与所述访问请求所对应的用户进行交互以完成登录操作，并将与所述访问请求所对应的用户相关联的信息分别存储在本地缓存器和主共享缓存装置中。

优选地，在本发明所公开的单点登录系统中，当接收到由所述至少一个单点登录服务器转发来的带有所述凭证的所述访问请求后，所述应用服务器执行所述凭证的验证过程（所述验证过程与常规的CAS技术相似，此处不再赘述），并且如果验证通过则接受与所述访问请求所对应的用户的访问（即进一步处理所述访问请求）。

优选地，在本发明所公开的单点登录方法中，所述至少一个单点登录服务器以共享的方式使用所述主共享缓存装置。

示例性地，在本发明所公开的单点登录方法中，所述应用服务器可以由单一的物理实体构成，也可以由多个不同的物理实体的集合构成（其中，示例性地，所述多个不同的物理实体中的一个或多个可以是彼此异地的）。

优选地，在本发明所公开的单点登录方法中，所述步骤（A4）进一步包括：定时监视所述至少一个单点登录服务器中的每个与所述主共享缓存装置之间的连接状态，并且当所述至少一个单点登录服务器中的任一个与所述主共享缓存装置之间的连接失败的次数超过预定的阈值时，向该单点登录服务器发送切换命令，从而使该单点登录服务器使用至少一个备用共享缓存装置中的一个作为新的主共享缓存装置，其中，所述至少一个备用共享缓存装置中的每个保持与所述主共享缓存装置的实时数据同步，并在所述主共享缓存装置发生故障时作为新的主共享缓存装置而工作。

示例性地，在本发明所公开的单点登录方法中，所述主共享缓存装置利用MemCached共享缓存技术实现数据的共享。

示例性地，在本发明所公开的单点登录方法中，所述客户端是Web浏览器。

尽管本发明是通过上述的优选实施方式进行描述的，但是其实现形式并不局限于上述的实施方式。应该认识到：在不脱离本发明主旨和范围的情况下，本领域技术人员可以对本发明做出不同的变化和修改。

Claims (8)

1.一种单点登录系统，所述单点登录系统包括：

客户端，所述客户端用于基于用户指令构造访问请求，并将所述访问请求传送到应用服务器中的目标应用；

应用服务器，所述应用服务器用于解析所述访问请求并基于解析结果判断当前访问请求的状态，以及如果当前访问请求的状态是“第一次访问”，则将所述访问请求转发到接入服务器；

接入服务器，所述接入服务器用于将接收到的所述访问请求分发到所述至少一个单点登录服务器中的一个；

至少一个单点登录服务器，所述至少一个单点登录服务器中的每个在接收到所述访问请求后执行如下操作：（a）在本地缓存器中查找与所述访问请求所对应的用户相关联的信息，并且如果查找到与所述访问请求所对应的用户相关联的信息，则生成与所述访问请求所对应的用户相关联的凭证，并将带有所述凭证的访问请求发送回所述应用服务器；（b）如果在本地缓存器中未查找到与所述访问请求所对应的用户相关联的信息，则在主共享缓存装置中查找与所述访问请求所对应的用户相关联的信息，并且如果查找到与所述访问请求所对应的用户相关联的信息，则生成与所述访问请求所对应的用户相关联的凭证，并将带有所述凭证的访问请求发送回所述应用服务器；（c）如果未在所述主共享缓存装置中查找到与所述访问请求所对应的用户相关联的信息，则经通信链路与所述访问请求所对应的用户进行交互以完成登录操作，并将与所述访问请求所对应的用户相关联的信息分别存储在本地缓存器和主共享缓存装置中；

主共享缓存装置，所述主共享缓存装置用于存储与所述访问请求所对应的用户相关联的信息。

2.根据权利要求1所述的单点登录系统，其特征在于，当接收到由所述至少一个单点登录服务器转发来的带有所述凭证的所述访问请求后，所述应用服务器执行所述凭证的验证过程，并且如果验证通过则接受与所述访问请求所对应的用户的访问。

3.根据权利要求2所述的单点登录系统，其特征在于，所述至少一个单点登录服务器以共享的方式使用所述主共享缓存装置。

4.根据权利要求3所述的单点登录系统，其特征在于，所述应用服务器可以由单一的物理实体构成，也可以由多个不同的物理实体的集合构成。

5.根据权利要求4所述的单点登录系统，其特征在于，所述单点登录系统进一步包括：

监控装置，所述监控装置用于定时监视所述至少一个单点登录服务器中的每个与所述主共享缓存装置之间的连接状态，并且当所述至少一个单点登录服务器中的任一个与所述主共享缓存装置之间的连接失败的次数超过预定的阈值时，所述监控装置向该单点登录服务器发送切换命令，从而使该单点登录服务器使用至少一个备用共享缓存装置中的一个作为新的主共享缓存装置；

至少一个备用共享缓存装置，所述至少一个备用共享缓存装置中的每个用于保持与所述主共享缓存装置的实时数据同步，并在所述主共享缓存装置发生故障时基于所述监控装置的选择而作为新的主共享缓存装置。

6.根据权利要求5所述的单点登录系统，其特征在于，所述主共享缓存装置利用MemCached共享缓存技术实现数据的共享。

7.根据权利要求6所述的单点登录系统，其特征在于，所述客户端是Web浏览器。

8.一种单点登录方法，所述单点登录方法包括下列步骤：

（A1）客户端基于用户指令构造访问请求，并将所述访问请求传送到应用服务器中的目标应用；

（A2）所述应用服务器解析所述访问请求并基于解析结果判断当前访问请求的状态，以及如果当前访问请求的状态是“第一次访问”，则将所述访问请求转发到接入服务器；

（A3）所述接入服务器将接收到的所述访问请求分发到至少一个单点登录服务器中的一个；

（A4）所述至少一个单点登录服务器中的每个在接收到所述访问请求后执行如下操作：（a）在本地缓存器中查找与所述访问请求所对应的用户相关联的信息，并且如果查找到与所述访问请求所对应的用户相关联的信息，则生成与所述访问请求所对应的用户相关联的凭证，并将带有所述凭证的访问请求发送回所述应用服务器；（b）如果在本地缓存器中未查找到与所述访问请求所对应的用户相关联的信息，则在主共享缓存装置中查找与所述访问请求所对应的用户相关联的信息，并且如果查找到与所述访问请求所对应的用户相关联的信息，则生成与所述访问请求所对应的用户相关联的凭证，并将带有所述凭证的访问请求发送回所述应用服务器；（c）如果未在所述主共享缓存装置中查找到与所述访问请求所对应的用户相关联的信息，则经通信链路与所述访问请求所对应的用户进行交互以完成登录操作，并将与所述访问请求所对应的用户相关联的信息分别存储在本地缓存器和主共享缓存装置中。

Images