CN114070651B

CN114070651B - 一种单点登录系统和方法

Info

Publication number: CN114070651B
Application number: CN202210025504.3A
Authority: CN
Inventors: 杜有翔; 何福; 侯昱珂; 付渲理; 罗昌俊; 宋情; 林敏�
Original assignee: Computational Aerodynamics Institute of China Aerodynamics Research and Development Center
Current assignee: Computational Aerodynamics Institute of China Aerodynamics Research and Development Center
Priority date: 2022-01-11
Filing date: 2022-01-11
Publication date: 2022-04-12
Anticipated expiration: 2042-01-11
Also published as: CN114070651A

Abstract

本发明适用于应用系统软件开发领域，提供了一种单点登录系统和方法，单点登录方法包括在SSO服务器中注册应用系统，生成应用系统注册ID；接收用户主机IP和用户会话；SSO服务器建立用户在线状态维护表，用户在线状态维护表与人员基础数据库数据连通；应用系统判断用户会话是否有效，若用户会话有效，则直接登录应用系统；若用户会话无效，则SSO服务器接收应用系统注册ID和用户主机IP，当应用系统注册ID有效且用户主机IP有效时，成功登录应用系统。本发明提供的一种单点登录方法和系统具有低成本、易于实现、稳定性和安全性好的优势。

Description

一种单点登录系统和方法

技术领域

本发明涉及应用系统软件开发领域，具体涉及应用系统单点登录，统一用户认证，用户入网准入等领域，尤其是涉及一种单点登录系统和方法。

背景技术

目前，一些企业内部往往使用同一个局域网，而同一个局域网内运行有多个应用系统，但通常情况下应用系统在建设时间、技术框架、开发语言等方面差异较大，且用户认证模式各异，从而使得单点登录应用场景较为复杂，进而导致各应用系统之间单点登录的实现面临以下问题：

首先，存在跨进程跨平台的问题。目前，一些常见的单点登录解决方案均采用了登录页面跳转、表单口令代填等方式，这样不仅要做大量的二次开发工作，而且还要处理前端跨域问题。而将用户信息存于本机进程（内存）中，可以解决前端跨域的问题，但又带来了跨进程跨平台问题。对于服务器/客户机模式（Client-Server，简称C/S）的应用系统，其客户端必然要进行跨进程调用，以获取用户信息，其实现方法难度大且存在内存泄露风险，占用用户主机资源，而且不同的操作系统跨进程的调用方式存在差异，需进行多平台的适配化改造；对于浏览器/服务器模式（Browser/Server，简称B/S）的应用系统，用户浏览器由于安全机制无法直接访问本地资源，需采用控件的形式，而不同的浏览器需采用不同的控件，如IE的ActiveX、Chrome的PPAPI，因而存在多浏览器的兼容性问题。

其次，数据安全性低。用户信息存储于用户端，当在用户端与前端和/或后端之间频繁传输用户数据时，存在用户信息泄漏的风险，显著降低了单点登录的安全可靠性。

再者，二次开发难。大部分应用系统开发时间较早，且有固定的一整套用户认证模式，如果直接采用主流的“重量级”的单点登录技术，将会带来大量前后端的二次开发，不仅要让用户适应新的登录界面和方式，而且随着改动量的增大，可能会给现有系统带来新的故障，降低系统稳定性，同时也降低了单点登录的性价比。

发明内容

本发明的目的是针对企业局域网中各应用系统存在的技术框架、开发语言差异较大、用户认证模式各异，以及常见的单点登录解决方案存在的跨域、跨进程、跨平台，数据安全，二次开发难等问题，提供一种轻量级的、易于实现跨进程跨平台的单点登录系统和方法，在方便用户使用的同时，有效保证系统的稳定性和安全性。

本发明一方面提供了一种单点登录方法，包括如下步骤：

步骤S10：在SSO服务器中注册应用系统，生成应用系统注册ID；在局域网内建立人员基础数据库，所述人员基础数据库包括用户主机IP和与用户主机IP相对应的用户信息；

步骤S20：接收用户主机IP和用户会话；所述SSO服务器建立用户在线状态维护表，所述用户在线状态维护表与所述人员基础数据库数据连通；

步骤S30：应用系统判断用户会话是否有效，若所述用户会话有效，则直接登录应用系统；若所述用户会话无效，则继续步骤S40；

步骤S40：SSO服务器接收应用系统注册ID和用户主机IP，当所述应用系统注册ID有效且所述用户主机IP有效时，成功登录所述应用系统；

所述应用系统注册ID有效为所述应用系统注册ID已在SSO服务器中注册；所述用户主机IP有效为所述用户主机IP在用户在线状态维护表中存在对应的用户信息。

进一步的，步骤S40中，当所述应用系统注册ID无效时，将登录失败信息发送至应用系统，和/或显示主机的登录界面；若所述应用系统注册ID有效，则判断所述用户主机IP是否有效。

进一步的，当所述用户主机IP无效时，显示应用系统的登录界面，获取用户登录信息，SSO服务器对所述用户登录信息进行验证，若验证成功，则更新用户在线状态维护表，成功登录所述应用系统。

进一步的，所述SSO服务器通过对所述人员基础数据库进行接口调用或数据同步的方法获取人员数据。

进一步的，所述应用系统通过对所述人员基础数据库进行接口调用或数据同步的方法获取人员数据。

进一步的，所述用户主机IP通过准入认证系统进行认证，和/或通过交换机硬件配置进行标识。

进一步的，还包括步骤S50：应用系统接收退出请求，注销登录信息，并将注销信息发送至SSO服务器；SSO服务器注销用户在线状态维护表，并注销所有已注册应用系统的登录信息。

本发明另一方面提供了一种单点登录系统，包括SSO服务模块、用户管理模块、应用系统：

所述SSO服务模块用于注册应用系统，生成应用系统注册ID，接收应用系统注册ID和用户主机IP，并建立用户在线状态维护表，判断所述应用系统注册ID的有效性和/或所述用户主机IP的有效性；

所述用户管理模块用于在局域网内建立所述应用系统注册ID的用户管理信息；

所述应用系统接收用户主机IP和用户会话，并判断用户会话是否有效，并与SSO服务器进行数据交互。

进一步的，还包括输入模块，所述输入模块用于输入用户登录信息。

综上所述，本发明至少具有如下技术效果：

1. 本发明充分利用企业内部局域网易实现的、基于管理安全需求的统一用户管理和用户入网准入绑定优势条件，从而实现基于用户主机IP地址可信的可应用于复杂应用场景的跨进程跨平台单点登录；

2. 本发明无需对应用系统前端进行任何变动，只在后端进行简单的二次开发，仅通过在SSO服务器中注册应用系统，生成应用系统注册ID，从而通过对后端进行简单的二次开发，即可实现跨进程跨平台单点登录，具有适配改造成本低，易于实现；

3. 本发明通过在局域网内建立人员基础数据库，并通过所述人员基础数据库为所述SSO服务器提供用户数据，从而实现用户认证信息数据交互均在后端加密进行，使得用户敏感信息不暴露于前端和客户端，并且数据交互少，有效保证了数据的安全性；

4. 本发明通过后端的SSO服务器与后端的人员基础数据库之间实现后端数据交互，并且后端数据交互均通过统一的接口标准进行，用户无需安装任何客户端或代理控件，很好的规避了客户端兼容性，前端跨域、跨进程，后端跨平台等问题。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面所描述的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明中单点登录方法的登录流程示意图；

图2是本发明中单点登录系统的示意图；

图3是本发明中单点登录的结构构架图；

图4是本发明中单点登录的应用示意图；

图5是本发明中单点登录的退出流程示意图。

具体实施方式

以下的说明提供了许多不同的实施例、或是例子，用来实施本发明的不同特征。以下特定例子所描述的元件和排列方式，仅用来精简的表达本发明，其仅作为例子，而并非用以限制本发明。

下面将结合本发明实施例中附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本发明的描述中，术语“第一”、 “第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

实施例1：

本发明实施例1提供了一种单点登录方法，如图1、图2所示，包括如下步骤：

需要实现单点登录的应用系统，需首先在本方法的SSO服务器进行注册，将一些必要信息录入SSO服务器，如应用系统名称、应用系统访问地址、应用系统退出接口等。注册完毕后，SSO服务器自动生成应用系统注册ID，交由应用系统保存，用于唯一标识该系统。

当用户同一天第二次登录所述应用系统时，只要所述应用系统注册ID有效，则会查询到该主机IP当前登录的有效用户账号，那么用户会直接登录所述应用系统，从而不需要用户在此输入用户账号、密码，进而实现单点登录。

如图3所示，本实施例中单点登录方法需要符合统一用户管理，具体的统一用户管理是指为保证企业内部人员基础数据的一致性和可维护性的用户管理方法，主要包括两种方式：一是采用统一的人员基础数据库，通过数据库连接调用或接口调用的方式来获取系统所需的人员信息；二是应用系统自身有一套人员基础数据库，但是由单位统一的人员基础数据库通过接口调用，从而实现人员基础数据库内人员信息的更新。因此，无论是采用上述何种方式，都严格保证了各应用系统的用户认证信息（即用户账户和密码）的同步，即实现了统一用户管理。管理员只需维护一套统一的基础数据库，即可管理所有应用系统的用户认证信息。这就为本发明的实现提供了很好的数据基础。

同时，还具有用户认证后移的特点，即用户前端访问应用系统程序不做任何改变，用户操作习惯不变。应用系统首先判断用户在该系统中的用户会话是否无效，如果有效，则直接登录系统，不再访问SSO服务器；如果用户会话无效，再由各应用系统后端调用相应的SSO服务器，再由SSO服务器查询人员基础数据库，完成用户身份认证。这在一定程度上减轻了SSO服务器的压力。

从而使得单点登录的改造对用户透明，对不同技术体系和架构的应用系统，其适配化改造工作都是相似的，而且应用系统与SSO服务器的数据交互都是通过服务端接口调用的方式进行，不用考虑各个应用系统的技术架构及其所在的前后端平台的兼容性问题，只需统一接口标准即可。因此，可以很好地规避前端跨域问题，同时也巧妙地避开了跨进程跨平台的问题，具有很强的兼容性。其改造量也很小，只是改变了用户在应用系统后端的认证途径。

整个单点登录过程，用户敏感信息只在安全环境相对可控的系统后端加密传输。因此，在保证数据交互简洁性的同时，最大程度地保证了用户信息安全。

另外，为进一步提升系统的稳定性和抗压能力，还可在SSO服务器部署一套Nginx反向代理服务，以实现SSO服务器的负载均衡。

充分利用企业内部局域网易实现的、基于管理安全需求的统一用户管理和用户入网准入绑定优势条件，从而实现基于用户主机IP地址可信的可应用于复杂应用场景的跨进程跨平台单点登录。

同时，无需对应用系统前端进行任何变动，仅通过在SSO服务器中注册应用系统，生成应用系统注册ID，从而通过对后端进行简单的二次开发，即可实现跨进程跨平台单点登录，具有适配改造成本低，易于实现。

通过在局域网内建立人员基础数据库，并通过所述人员基础数据库为所述SSO服务器提供用户数据，从而实现用户认证信息数据交互均在后端加密进行，使得用户敏感信息不暴露于前端和客户端，并且数据交互少，有效保证了数据的安全性。

通过后端的SSO服务器与后端的人员基础数据库之间实现后端数据交互，并且后端数据交互均通过统一的接口标准进行，用户无需安装任何客户端或代理控件，很好的规避了客户端兼容性，前端跨域、跨进程，后端跨平台等问题。

进一步的，步骤S40中，当所述应用系统注册ID无效时，表明该用户还未登陆或登录信息已经过期，遂将登录失败信息发送至应用系统，和/或显示主机的登录界面；若所述应用系统注册ID有效，则判断所述用户主机IP是否有效，所述用户主机IP是否有效的判断方法为用户在线状态维护表中是否能够查到所述用户主机IP对应的登录用户，即所述用户主机IP是否登陆过所述应用系统。

进一步的，当所述用户主机IP无效时，表明该用户还未登陆或登录信息已经过期，遂向用户显示应用系统的登录界面，待获取用户登录信息后，SSO服务器对所述用户登录信息进行验证，若验证成功，则更新用户在线状态维护表，成功登录所述应用系统。具体的，SSO服务器对所述用户登录信息进行验证的方法可以是SSO服务器通过查询人员基础数据库对用户身份进行验证。所述用户登录信息包括用户登录账号和用户登录密码。

SSO服务器可与入网准入认证系统集成，用户通过准入认证上线后，即表示用户已处于登录在线状态，在通过准入系统后，与SSO服务器保持心跳连接，维持用户在SSO服务器登录状态的有效性。这样，用户只要入网后，即可登录任何一个已在SSO服务器注册的应用系统，而不需要再次输入用户账号和密码，进一步提高用户的登录效率，如图4所示，展示出同一用户主机IP上不同用户自动登录和用户切换的流程示意图。

IP地址可信是指为了保证企业内部用网的安全性，对新用户入网有一套严格的审批流程，并通过准入认证系统和交换机硬件配置，将用户主机标识（由准入客户端根据主机硬件信息自动生成）、用户主机IP、MAC地址等信息与交换机端口绑定。如果用户需要变更主机信息，需要重走审批流程，审批通过后才能由网络管理员进行重新绑定入网。如果用户自行变更用户主机IP、MAC等主机信息，准入认证系统将会强制用户下线。这样就防止了用户对于用户主机IP地址的随意篡改。在此前提下，企业入网用户的用户主机IP地址是可信的，用户很难随意更改。这就为单点登录过程中，没有任何先验输入的前提下，用户二次访问，并自动登录应用系统提供了一个重要的、可靠的凭证。

进一步的，如图5所示，还包括步骤S50：应用系统接收退出请求，注销登录信息，并将注销信息发送至SSO服务器；SSO服务器注销用户在线状态维护表，并注销所有已注册应用系统的登录信息。

具体的，首先用户在所述应用系统的退出界面发起退出请求；所述应用系统自身注销用户登录信息，并且所述应用系统调用SSO服务器的接口，将应用系统注册ID、用户主机IP、用户账号传给SSO服务器；

其次，SSO服务器在用户在线状态维护表中将梭梭树用户主机IP和用户账号的登录信息注销；同时，SSO服务器再通过应用系统注册表查询到所有注册应用系统的用户注销接口，并进行异步调用，将该用户在所述用户主机IP上的所有应用系统的登录信息均注销。从而实现用户统一退出。

并且，用户在各应用系统中的每一次登录和退出，都将记录在应用系统登录日志表中，可随时查询。

实施例2：

如图2所示，本发明实施例2提供了一种单点登录系统，包括SSO服务模块、用户管理模块、应用系统：

本发明提供的一种单点登录系统中，应用系统在SSO服务器注册后，用户只需在第一次登录系统时，输入用户名、密码，验证通过后，即可在有效期内自动登录任一应用系统，而无需再次输入用户名、密码。

如图4所示，用户还可通过任一应用系统的退出页面，实现所有系统的自动退出。当用户再次访问任一应用系统时，就需要重新输入用户名、密码，进而实现登录用户的在线切换，并且整个操作过程不断网。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims

1.一种单点登录方法，其特征在于，包括如下步骤：

所述应用系统注册ID有效为所述应用系统注册ID已在SSO服务器中注册；所述用户主机IP有效为所述用户主机IP在用户在线状态维护表中存在对应的用户信息；

所述SSO服务器通过对所述人员基础数据库进行接口调用或数据同步的方法获取人员数据；所述应用系统通过对所述人员基础数据库进行接口调用或数据同步的方法获取人员数据；所述应用系统通过服务端接口统一调用所述SSO服务器；所述用户主机IP是否有效的判断方法为用户在线状态维护表中是否能够查到所述用户主机IP对应的登录用户，即所述用户主机IP是否登录过所述应用系统。

2.如权利要求1所述的一种单点登录方法，其特征在于，步骤S40中，当所述应用系统注册ID无效时，将登录失败信息发送至应用系统，和/或显示主机的登录界面；若所述应用系统注册ID有效，则判断所述用户主机IP是否有效。

3.如权利要求2所述的一种单点登录方法，其特征在于，当所述用户主机IP无效时，显示应用系统的登录界面，获取用户登录信息，SSO服务器对所述用户登录信息进行验证，若验证成功，则更新用户在线状态维护表，成功登录所述应用系统。

4.如权利要求1所述的一种单点登录方法，其特征在于，所述用户主机IP通过准入认证系统进行认证，和/或通过交换机硬件配置进行标识。

5.如权利要求1所述的一种单点登录方法，其特征在于，还包括步骤S50：应用系统接收退出请求，注销登录信息，并将注销信息发送至SSO服务器；SSO服务器注销用户在线状态维护表，并注销所有已注册应用系统的登录信息。

6.一种单点登录系统，应用于如权利要求1至5任一所述的单点登录方法，其特征在于，包括SSO服务模块、用户管理模块、应用系统：

7.如权利要求6所述的一种单点登录系统，其特征在于，还包括输入模块，所述输入模块用于输入用户登录信息。