CN106612290B - 一种面向系统集成的跨域单点登录方法 - Google Patents

Abstract

本发明公开了一种面向系统集成的跨域单点登录方法，其步骤为：1)用户首次访问某个子系统时，代理服务拦截该请求并跳转至统一登录界面。2)用户在登录界面填写用户名、密码等信息。3)单点登录服务器验证该用户信息，生成唯一授权码。4)使用模拟登录的方式，将授权码及登录信息发送到全部系统。5)用户使用授权码再次访问本系统或其他系统，且无需再次登录。本发明的优点在于：配置简单不侵入原系统代码，且支持跨域分布在多个域名下的系统也可实现无缝访问，还具有适用于高并发场景、支持限时免登陆特性。

Description

一种面向系统集成的跨域单点登录方法

技术领域

本发明属于计算机应用技术领域，特别涉及一种面向系统集成的跨域单点登录方法。

背景技术

系统集成时需要将多个独立子系统集中管理，子系统之间单独开发，每个子系统都使用各自的登录功能，因此用户在多个子系统间切换时，需要多次输入用户名和密码，这严重地影响了用户的使用体验，同时也给用户带来管理众多账号密码的压力。

单点登录技术就是为了解决上述系统集成时存在的问题，用户在系统平台下的任一子系统登录后，再访问其他子系统都不需要再次输入用户名密码。该技术将身份验证和权限管理的工作全部交由单点登录服务完成，这样保证了用户的认证工作全部后台实现，对用户静默，实现了系统间无缝切换，这极大地提升了用户的使用体验。

在系统集成时，即存在一些已使用很久的老系统，也存在新开发系统。在集成这些系统时会存在以下问题：

(1)部分系统已提供登录功能，部分并没有登录入口。

(2)不同子系统可能部署在不同域下。

(3)不同子系统可能使用不同的开发语言开发实现。

另外系统还存在维护方已不再维护的情况，无法更改源代码，因此一种支持跨域、跨开发平台且使用简单、不侵入原有系统的单点登录方法及其重要。本发明就是基于这种需求而开发的一种面向系统集成的跨域单点登录方法。

跨域单点登录的技术核心在认证信息多系统共享,目前主要有三种实现方式：第一,采用共享Session技术实现认证信息共享或通过Cookie记录认证信息；第二,通过令牌适配器,将域内令牌认证生成跨域令牌；第三,在集成门户中生成特殊URL，以此来传递认证信息。其中,第一种方法时效性控制存在限制，且需要侵入原系统；第二种方法,每次访问时都需验证，验证服务器压力较大；第三种方法,对用户限制较大，所有操作需在集成门户上进行。

发明内容

发明目的：针对现有技术中存在的问题，本发明提供一种配置简单不侵入原系统代码，且支持跨域分布在多个域名下的系统也可实现无缝访问，还具有适用于高并发场景、支持限时免登陆特性的面向系统集成的跨域单点登录方法。

技术方案：为解决上述技术问题，本发明提供一种面向系统集成的跨域单点登录方法，包括如下步骤：

步骤一：代理服务接收用户向子系统发出的请求，并检验该用户授权码，如果没有携带授权码则判断该用户是首次访问子系统并进入步骤二，如果携带授权码则判断该用户不是首次访问子系统并进入步骤三；

步骤二：代理服务将请求重定向到单点登录服务的统一登录界面并进入步骤四；

步骤三：判断用户不是首次访问子系统后，访问代理服务获得授权码并进入步骤六，如果访问代理服务的授权码缓存中没有找到该授权码信息，则以RPC协议并加密的方式向单点登录服务授权码验证模块发出验证请求，若验证通过则访问代理服务保存该授权码，否则将重定向到统一登录界面并进入步骤二；

步骤四：用户在单点登录服务的统一登录界面填写用户名、密码、是否免登陆；然后对于用户信息进行验证；

步骤五：用户信息验证通过后，通过授权码生成模块生成唯一授权码，使用模拟登陆实现所有子系统的登录，并将授权码发送到各个子系统的代理服务；

步骤六：对授权码进行验证，如果验证通过进入步骤七，如果验证不通过则抛弃该授权码并重新定向到统一登录界面返回步骤四；

步骤七：通过访问代理服务缓存该授权码，并在用户端生成含有授权码的Cookie；

步骤八：用户成功访问子系统，实现单点登录。

进一步的，所述授权码生成模块使用GUID生成全局唯一授权码，授权码管理模块以<用户名，授权码，生成时间，存活时间>的格式保存。

进一步的，所述步骤四中的免登陆最高可达30天。

与现有技术相比，本发明的优点在于：

本发明使用的是基于代理服务的请求转发技术、模拟登录技术、认证信息缓存来完成跨域单点登录，具有不侵入原有系统、适用于高并发场景、对用户操作无限制的优点。

本发明使用访问代理、模拟登录及缓存授权码的思想，发明了一种面向系统集成的跨域单点登录方法，该方法配置简单不侵入原系统代码，且支持跨域分布在多个域名下的系统也可实现无缝访问，因此特别适用于跨域、跨开发平台的系统集成需求。另外由于缓存授权码，该方法还具有适用于高并发场景、支持限时免登陆的特性。

附图说明

图1是本发明的流程图；

图2是具体实施例中访问代理服务与子系统关系图；

图3为具体实施例中用户首次访问第一个子系统的流程图；

图4为具体实施例中单点登录服务登录流程图；

图5为具体实施例中用户首次登录其他系统时流程图。

具体实施方式

下面结合附图和具体实施方式，进一步阐明本发明。

本发明在每个系统之上部署访问代理服务，访问代理与系统在同一域名之下，且不侵入原有系统代码、不更改原有系统配置。用户向系统发出的请求首先需要通过访问代理服务，由访问代理服务负责请求的处理工作，当用户并无法感知到访问代理服务的存在。

当用户首次向系统发出访问请求时，访问代理服务将用户访问的资源重定向到单点登录服务器的统一登录界面，用户输入正确的用户名密码之后，单点登录服务器的授权码生成模块授予该用户唯一授权码，该授权码用于其他系统校验该用户是否成功登录。

单点登录系统部署时，需要为每个系统设置登录接口。登录接口分为两种，第一种是系统原生登录接口，自带登录功能的系统必须设置这种接口；另外一种为访问代理服务中的登录接口，全部系统都需要设置这种接口。当用户成功登录后，单点登录服务器返回登录成功界面，在该界面完成模拟登录操作，该操作对用户不可见。成功登录界面，会生成数个不可见的iframe框架，该框架的URL为单点登录服务器根据用户信息和子系统登录接口生成。当所有iframe访问成功后，界面会自动跳转到用户请求的URL。URL为第二种登录接口的iframe，会携带授权码向代理访问层发出请求，代理访问层根据请求信息，使用加密通道再次向单点登录服务器发出验证请求，验证成功后生成带有授权码信息的Cookie并将登录信息以<用户名，授权码，生成时间，存活时间>的格式保存在本机。

用户再次访问该系统或其他系统时，发出的请求会携带授权码，代理服务层将该授权码与自身保存的授权码进行比对。当相同时，代理服务层转发此次请求到子系统；当不同时，则请求重定向到统一登录界面；当不存在时，使用加密通道向单点登录服务发起验证请求。

用户向系统发出的请求，访问代理服务验证通过后，将该请求发送给其代理的系统，并将系统的回复信息全部返还给用户。

如图1所示，本发明包括如下步骤：

步骤一：代理服务接收用户向子系统发出的请求，并检验该用户授权码，如果没有携带授权码则判断该用户是首次访问子系统并进入步骤二，如果携带授权码则判断该用户不是首次访问子系统并进入步骤三；

步骤二：代理服务将请求重定向到单点登录服务的统一登录界面并进入步骤四；

步骤三：判断用户不是首次访问子系统后，访问代理服务获得授权码并进入步骤六，如果访问代理服务的授权码缓存中没有找到该授权码信息，则以RPC协议并加密的方式向单点登录服务授权码验证模块发出验证请求，若验证通过则访问代理服务保存该授权码，否则将重定向到统一登录界面并进入步骤二；

步骤四：用户在单点登录服务的统一登录界面填写用户名、密码、是否免登陆；然后对于用户信息进行验证；免登陆最高可达30天。

步骤五：用户信息验证通过后，通过授权码生成模块生成唯一授权码，使用模拟登陆实现所有子系统的登录，并将授权码发送到各个子系统的代理服务；所述授权码生成模块使用GUID生成全局唯一授权码，授权码管理模块以<用户名，授权码，生成时间，存活时间>的格式保存；

步骤六：对授权码进行验证，如果验证通过进入步骤七，如果验证不通过则抛弃该授权码并重新定向到统一登录界面返回步骤四；

步骤七：通过访问代理服务缓存该授权码，并在用户端生成含有授权码的Cookie；

步骤八：用户成功访问子系统，实现单点登录。

如图2所示，在子系统前部署访问代理服务，访问代理服务与子系统处于同一顶级域下。代理访问层可以为任一编程语言实现，且不侵入子系统，包括不侵入子系统配置。访问代理服务可以在不关闭子系统的情况下部署，部署前需要在其配置文件中配置子系统的编码、二级域名、单点登录服务地址等配置项。部署访问代理服务后，对外公开的子系统地址改为代理访问层地址。

如图3所示，当用户首次访问第一个子系统时，系统的实现步骤如下：

(1)用户向子系统发起请求，访问代理服务首先接受到该请求。

(2)该请求没有携带授权码，因此访问代理服务将请求重定向到单点登录服务的统一登录界面。

(3)用户在登录界面正确填写信息后，单点登录服务登录成功界面向访问代理服务和子系统(存在第一种登录接口)发送登录信息，登录信息包括用户信息和授权码。然后界面跳转至用户初始请求的URL。

(4)访问代理服务将请求转发给子系统。

(5)子系统处理请求后，发送回复信息给访问代理服务

(6)访问代理服务将子系统的回复转发给用户。

如图4所示，用户在统一登录界面登录后，单点登录系统经过验证、模拟登录等流程后完成用户的单点登录，其具体步骤为：

(1)用户在单点登录服务的统一登录界面填写用户名、密码、是否免登陆，其中设置为免登录可保证30天内的免登陆。

(2)用户信息验证通过后，统一登录模块向授权码生成模块请求全局唯一授权码。

(3)授权码生成模块使用GUID生成全局唯一授权码，授权码管理模块以<用户名，授权码，生成时间，存活时间>的格式保存，然后启动定时器定时清理已过时的用户登录信息。

(4)统一登录接口将登录信息发送到模拟登录系统，该系统以网页形式向用户展示登录成功界面

(5)在登录成功界面生成数个不可见的iframe框架，在这些框架中进行模拟登录操作。

(6)访问代理服务根据模拟登录系统获得用户授权码，但此处获得的授权码是使用未加密方式获得的，因此需要向单点登录服务进行验证。访问代理服务使用RPC协议并加密地向授权码管理模块进行验证，当验证通过时以<用户名，授权码，生成时间，存活时间>的格式保存在本机，然后启动定时器定时清理已过时的用户登录信息，若没有通过验证则抛弃该授权码并重定向到统一登录界面。

其中步骤5的更详细实施方式为：

(1)单点登录系统部署时，为每个系统设置单独的登录接口。登录接口分为两种，第一种是系统原生登录接口，自带登录功能的系统必须设置这种接口；另外一种为访问代理服务中的登录接口，全部系统都需要设置这种接口。

(2)从数据库中获取用户具有访问权限的子系统信息。

(3)成功登录界面，根据步骤2的返回结果和用户信息生成数个不可见的iframe框架，该框架的URL为单点登录服务器根据用户信息和具有子系统登录接口生成。当所有iframe访问完成后，界面会自动跳转到用户请求的URL。

(4)URL为第二种登录接口的iframe，会携带授权码向代理访问层发出请求，代理访问层根据请求信息，生成带有授权码信息的Cookie。

如图5所示，当用户访问第二个子系统时，会携带授权码向访问代理服务发出验证，其具体步骤为：

(1)用户向子系统2发出请求，访问代理服务首先接收该请求，并获得授权码。

(2)访问代理服务如果没有在自身找到该授权码信息，则以RPC协议并加密的方式向单点登录服务授权码验证模块发出验证请求。

(3)若验证通过则访问代理服务保存该登录信息，否则将重定向到统一登录界面。

(4)访问代理服务将请求转发给子系统。

(5)子系统处理请求后，发送回复信息给访问代理服务

(6)访问代理服务将子系统的回复转发给用户。

以上所述仅为本发明的实施例子而已，并不用于限制本发明，本发明对于数值计算中研究对象的精确显示尤其适用。凡在本发明的原则之内，所作的等同替换，均应包含在本发明的保护范围之内。本发明未作详细阐述的内容属于本专业领域技术人员公知的已有技术。

Claims (3)

1.一种面向系统集成的跨域单点登录方法，其特征在于，包括如下步骤：

步骤一：访问代理服务接收用户向子系统发出的请求，并检验该用户授权码，如果没有携带授权码则判断该用户是首次访问子系统并进入步骤二，如果携带授权码则判断该用户不是首次访问子系统并进入步骤三；

步骤二：访问代理服务将请求重定向到单点登录服务的统一登录界面并进入步骤四；

步骤三：判断用户不是首次访问子系统后，访问代理服务获得授权码并进入步骤六，如果访问代理服务的授权码缓存中没有找到该授权码信息，则以RPC协议并加密的方式向单点登录服务授权码验证模块发出验证请求，若验证通过则访问代理服务保存该授权码，否则将重定向到统一登录界面并进入步骤二；

步骤四：用户在单点登录服务的统一登录界面填写用户名、密码、是否免登陆；然后对于用户信息进行验证；

步骤五：用户信息验证通过后，通过授权码生成模块生成唯一授权码，使用模拟登陆实现所有子系统的登录，并将授权码发送到各个子系统的访问代理服务；

步骤六：对授权码进行验证，如果验证通过进入步骤七，如果验证不通过则抛弃该授权码并重新定向到统一登录界面返回步骤四；

步骤七：通过访问代理服务缓存该授权码，并在用户端生成含有授权码的Cookie；

步骤八：用户成功访问子系统，实现单点登录。

2.根据权利要求1所述的一种面向系统集成的跨域单点登录方法，其特征在于：所述授权码生成模块使用GUID生成全局唯一授权码，授权码管理模块以<用户名，授权码，生成时间，存活时间>的格式保存。

3.根据权利要求1所述的一种面向系统集成的跨域单点登录方法，其特征在于：所述步骤四中的免登陆最高可达30天。

Images