单点登录与授权登录业务指南-六虎

前语

本文篇幅较长，旨在具体的让读者搞清楚单点登录与授权登录两套事务的具体流程与相关常识，如不喜爱长篇幅或许厌弃啰嗦的请不要阅览。
本文代码部分由AI编写，不一定精确，可是必定能够参阅，逻辑正确。
本文部分内容从互联网进行了少许参阅，并且素材声明了来源。
单点与授权的事务很简略，可是想要具体的掌握并完结需求也不是能够直接上手的。

何为单点？何为授权？

有什么地方不正确或许缺少了某些常识请及时告诉我，感谢，假如觉得不错能够重视一下我公众号：小简聊开发。

单点登录

单点登录（SSO）是一种用户身份验证进程，答运用户运用单一的登录凭据来拜访多个运用程序或服务。它削减了需求记忆多个用户名和暗码的需求，进步了安全性和用户体会。SSO在企业环境中尤为重要，由于它简化了对多个内部和外部服务的拜访进程。

运用Google账号登录各种服务。例如，你能够用Google账号登录Gmail，然后不需求再次登录就能拜访Google Drive、Google Photos、YouTube等Google服务。这种办法让用户无需记住多个账号和暗码，供给了快捷和高效的用户体会。

授权登录

授权登录，如OAuth，是一种答应运用程序或服务在不同享用户的登录凭据的状况下，安全地拜访用户在其他服务上的数据的协议。它为第三方运用供给了有限的拜访权限，一般用于交际媒体登录、数据同享等场景。这种办法进步了数据安全性，一起也便利了用户和服务之间的数据交互。

一个常见的授权登录示例是运用交际媒体账号登录其他服务或运用。例如，许多网站和运用答应你运用Facebook或Google账号登录。当你挑选这种登录办法时，网站会引导你到Facebook或Google的登录页面。在这儿，你需求授权该网站拜访你的某些交际媒体信息（如根本资料）。一旦授权，你就能够运用交际媒体账号在新网站上登录，而无需创立新的账户。这种办法简化了登录流程，一起维护了你的暗码安全，由于你的交际媒体登录信息不会被第三方网站获取。

合作运用

单点登录与授权登录是分隔的两套事务，可是能够合作运用，比方，Google Mail 初次登录时，需求运用Google账号授权登录Google Mail，可是登录之后，Google旗下的YouTube、Google Cloud等服务均无需登录(处于已登录状况)，这便是合作运用的状况。目前国内的腾讯旗下几乎一切站点，都选用的是QQ授权登录，网易我测验了一下，163官网与网易账户中心是SSO，其他都是账号暗码登录。

单点登录

为何诞生？

为什么会诞生SSO这种事务呢，首要便是为了便利用户，当一个企业的事务站点过多的时分，用户每一个事务都去注册、登录，无疑会给用户带来体会上的阻挠，而此时，假如运用一种登录一个网站其他网站均为登录状况的技能，这样能够极大的优化用户的体会，无需重复的注册账户和输入暗码。可是在最开始，并不是直接运用SSO这样的计划来完结的，且听我娓娓道来。

前期计划

前期的多体系登录常运用同一顶级域名下的cookie同享办法。例如，公司的多个体系的子域名都在“zhaixing.net”下，比方：“blog.zhaixing.net”与“www.zhaixing.net”，它们的主域名都是zhaixing.net，所以这些网站的cookie都是能够同享的，经过同享cookie来完结网站登录的互联。这种办法的限制在于：一切体系必须运用相同的域名和技能渠道，且cookie存在安全危险。因而，为了更安全高效地完结多体系登录，逐步开展到了单点登录（SSO）。

单点登录与前期计划比较

优势：

安全性更高：SSO削减了暗码泄露的危险。
用户体会更佳：用户只需登录一次即可拜访一切服务。
技能适用性广：支持跨域名和多种技能渠道。

劣势：

完结杂乱度高：需求更精细的安全和集成规划。
维护本钱进步：关于体系间的集成和安全维护有更高要求。

SSO改变

自适应 SSO 需求在一开始登录时输入用户名和暗码，但随后如出现其他危险，例如，当用户从头设备登录或测验拜访特别灵敏的数据或功用时，就需求额定的身份验证因子或从头登录。
联合 SSO – 更精确的名称是联合身份办理 (FIM)，是 SSO 的扩展。 SSO 依据单个安排域内运用之间的数字信赖关系，而 FIM 会将这种关系扩展到安排外部的可信第三方、供货商和其他服务供给商。例如，FIM 答应已登录的职工拜访第三方 Web 运用程序（如 Slack 或 WebEx），无需额定登录，或许仅运用用户名来登录。
交际登录答运用户运用他们拜访盛行交际媒体网站的凭据来拜访第三方运用。交际登录简化了用户的日子。关于第三方运用供给商，它能够阻挠不良行为（例如，错误登录和购物车遗弃），并为改进其运用供给有价值的信息。

SSO原理

单点登录的原理首要是由下面部分构成：

一致登录进口： 一切体系共用一个登录页面，用户只在这儿登录一次。
授权令牌创立： 登录成功后，认证中心会创立一个“令牌”（一种特殊的标记）。
令牌分发： 用户测验进入其他关联体系时，体系不再要求登录，而是检查这个令牌。
会话树立： 令牌有用，体系就答运用户进入，并为用户树立一个新的会话，就像他们直接登录那个体系一样。

简略来说，SSO就像是“一次登录，到处通行”的办法，进步了拜访效率和安全性。

举个比方，幻想你去一个大型购物中心，这儿有许多商铺。在进入商铺前，你需求在购物中心的进口处拿到一个入场手环。一旦你在进口验证了身份并拿到手环，你就能够自在进入中心内的任何一家商铺，无需在每家商铺门口再次出示身份证明。这个手环就像SSO中的授权令牌，一次验证，多处运用。每个商铺都信赖这个手环的有用性，因而不需求你每次进店都证明自己的身份。又或许，你住酒店，酒店会给你发一张一卡通，这个卡能够刷电梯，能够刷早餐，能够插卡取电…等等。

注：素材图片取自www.cnblogs.com/ywlaker/p/6…

以上的流程图用文字描绘如下：

用户测验拜访体系1的受维护资源：用户首先拜访体系1，但由于未登录，体系1将用户重定向到SSO认证中心，并把自己的地址作为参数发送。
SSO认证中心的登录进程：SSO认证中心发现用户未登录，因而引导用户到登录页面。用户输入用户名和暗码提交登录申请。
创立大局会话和授权令牌：SSO认证中心验证用户信息后，创立一个大局会话，并生成授权令牌。
用户被重定向回体系1：带着授权令牌，SSO认证中心将用户重定向回开始的恳求地址，即体系1。
体系1的验证进程：体系1接纳到令牌，并向SSO认证中心查询以验证令牌的有用性。
树立部分会话：验证令牌后，体系1运用该令牌与用户树立一个部分会话，并向用户供给拜访受维护资源的权限。
用户拜访体系2：用户现在测验拜访体系2的受维护资源。与之前相似，体系2将用户重定向到SSO认证中心。
SSO认证中心辨认用户已登录：由于用户现现已过体系1登录，SSO认证中心辨认这一点，并带着令牌重定向用户回体系2。
体系2树立部分会话：体系2运用从SSO认证中心收到的令牌与用户树立部分会话，并供给拜访权限。

大局会话与部分会话的关系：

假如部分会话（如在体系1或体系2中的会话）存在，那么大局会话（在SSO认证中心中的会话）也一定存在。
大局会话的存在并不意味着每个体系都有部分会话。
当大局会话结束时（比方用户从SSO认证中心登出），一切部分会话也必须结束。

示例：幻想一下，有一个用户Tom。Tom首先拜访公司的邮件体系（体系1），但需求登录。邮件体系将他重定向到公司的SSO认证中心，Tom在那里登录。登录成功后，他被带回邮件体系，并且能够拜访他的邮件。之后，Tom决定检查公司的内部论坛（体系2）。当他点击论坛链接时，体系检测到他现现已过SSO登录，因而直接答应他拜访，而无需再次登录。在这个进程中，Tom与SSO认证中心的会话是大局的，而他与邮件体系和论坛的会话是部分的。

SSO和零信赖办法

“零信赖”采纳“从不信赖，始终验证”的安全办法：任何用户、运用或设备 – 不管是在网络外部，仍是现现已过身份验证并坐落网络内部 – 都必须在拜访所需的下一个网络资源之前验证其身份。跟着网络变得愈加涣散，跨越的本地根底架构以及私有云和公有云数量更多，零信赖办法关于避免浸透网络的威胁取得更多拜访权限并造成最大的损害至关重要。 SSO 被广泛视为实施零信赖办法的根底技能，尤其是作为 IAM 解决计划一部分的 SSO。零信赖的根本应战是创立一个安全架构，冲击浸透网络的攻击者，而不会阻挠取得授权的最终用户在网络中自在行动并完结作业或事务。与多因子身份验证、拜访和权限操控、网络微分段等技能和最佳实践相结合后，SSO 能够协助安排完结这种平衡。

人话：字面意思，谁都不信赖，不管是谁，都需求认证，也便是结合授权登录并要求每次每个事务的产品都要授权一次，不再是自在拜访同一个主域名下一切站点，而Google就属于没有采纳这种形式的状况。

零信赖模型的简化解说

“零信赖”是一种网络安全办法，其核心理念是“永久不要盲目信赖，总是进行验证”。在这种模型下：

不管身份方位：不论是普通用户、高档办理员，乃至是公司CEO，一切人在拜访网络资源时都需求验证身份。
不管方位：不论是在公司内部网络，仍是外部网络，比方在家或咖啡馆作业，都必须进行验证。
意图：这种办法的意图是避免未授权的拜访和削减网络攻击的危险。

SSO在零信赖中的人物

单点登录（SSO）在零信赖模型中扮演重要人物，由于它是身份和拜访办理（IAM）的一部分：

简化登录：SSO答运用户运用一组凭据（如用户名和暗码）登录多个相关的服务或运用。这削减了用户需求记住的暗码数量，一起也简化了登录进程。
增强安全性：虽然SSO简化了登录进程，但与多因子身份验证（MFA）、拜访操控和网络微分段等技能结合运用时，它能够进步安全性。这些技能保证只要经过恰当验证和授权的用户才能拜访灵敏资源。

举例说明

幻想一家公司，职工们需求拜访电子邮件、文档存储和内部运用程序等多种体系。在零信赖模型下：

身份验证：不管职工坐落公司办公室仍是在家长途作业，他们都需求验证自己的身份才能拜访这些体系。
SSO的运用：公司实施了SSO，职工只需运用一组凭据即可拜访一切体系。这意味着他们登录一次后，无需为拜访其他体系再次输入凭据。
结合MFA等技能：为了增强安全性，除了SSO，还或许要求职工运用多因子身份验证，比方输入暗码后还需经过手机运用进行承认，这样即便暗码被泄露，未经授权的人也很难登录。

经过这种办法，零信赖模型结合SSO能够既进步安全性，又不过度阻挠职工的作业效率。

如何区别不同网站的会话？

会话标识符（Session ID） ：每个部分会话都有一个仅有的会话标识符。这个标识符一般在用户经过SSO登录时生成，并且在用户拜访每个不同的体系（站点）时传递给该体系。每个体系依据这个会话标识符来辨认和区别不同的用户会话。
令牌和凭据的运用：在SSO环境中，认证中心会发放令牌或凭据给用户。当用户拜访不同的站点时，这些站点会依据用户供给的令牌或凭据来创立独立的部分会话。每个站点都会验证这些令牌的有用性，保证用户现已在SSO中心进行了身份验证。
Cookie和本地存储：大多数网站运用浏览器的Cookie来坚持用户的会话状况。当用户登录某个体系后，该体系能够在用户的浏览器上设置一个特定的Cookie。这个Cookie一般包含会话ID或其他标识信息，使得该体系在用户再次拜访时能辨认出具体的用户会话。
子域阻隔：假如不同的站点是作为主域的子域运转的，它们能够经过设置特定的Cookie来区别不同的子域。这些Cookie能够装备为只对特定的子域有用，从而协助区别不同子域下的用户会话。
后端会话办理：服务器端一般会有会话办理机制，用于存储关于每个用户会话的信息，如用户权限、会话持续时刻等。这些信息能够协助体系辨认和办理每个独立的用户会话。
客户端和服务器端的同步：为了坚持会话的一致性，客户端（如浏览器）和服务器端的会话信息需求同步。这一般经过HTTP恳求和呼应中的Cookie和头信息来完结。

多种完结办法

单点登录（SSO）的完结办法多种多样，不仅限于运用会话的办法，下面列举出SSO完结的不同办法：

依据会话的SSO：这是最传统的办法，如我之前描述的，经过创立大局会话和部分会话来办理用户的登录状况。在这种办法中，用户的登录状况一般经过服务器端的会话和浏览器端的Cookie来维护。
依据令牌的SSO：在这种办法中，SSO认证中心在用户成功登录后，会生成一个令牌（一般是JWT – JSON Web Token）。用户随后运用这个令牌来拜访其他体系。每个体系经过验证这个令牌的有用性来为用户供给服务，而不是经过传统的会话机制。这种办法在RESTful API和微服务架构中十分盛行。
OAuth和OpenID Connect：OAuth是一个授权结构，答应运用在用户授权的状况下拜访其他运用的功用。OpenID Connect是树立在OAuth 2.0之上的认证层，它答应客户端验证用户的身份并获取根本的个人信息。这些技能常用于完结SSO，特别是在需求跨多个独立域名或运用拜访的场景中。
SAML（Security Assertion Markup Language） ：SAML是一个依据XML的敞开标准，用于在身份供给者和服务供给者之间交流身份验证和授权数据。SAML广泛用于企业级运用中，尤其是在Web服务和浏览器中完结SSO。
Kerberos：Kerberos是一种依据收据的协议，用于网络认证。虽然它一般用于内部网络认证，但在某些杂乱的企业环境中，Kerberos也被用于完结SSO。
联邦身份办理：这是一种更为广泛的SSO概念，触及多个安排和服务之间的身份同享。在这种模型中，用户在一个安排（身份供给者）的身份验证能够被其他多个安排（服务供给者）所承受。

每种SSO完结都有其优点和适用场景。挑选哪种办法取决于多种要素，如安全要求、体系架构、易用性和维护本钱等。跟着云服务和微服务架构的兴起，依据令牌的SSO和运用OAuth/OpenID Connect的办法变得越来越盛行。不够目前我运用的最多的，便是依据Token的SSO完结了，也便是令牌的办法，并且一般完结Token令牌的策略时，一般Token也会有一个自界说的Session作为其他用处，然后便是Oauth2.0或许比较多。

刊出登录

注：素材图片取自www.cnblogs.com/ywlaker/p/6…

以上的流程图用文字描绘如下：

用户向体系1建议刊出恳求：设想用户当时登录在体系1（比方一个邮件服务），并希望刊出。用户在体系1中点击刊出按钮。
体系1建议刊出恳求至SSO认证中心：体系1运用用户的会话ID来辨认用户，并将这个信息作为刊出恳求发送到SSO认证中心。
SSO认证中心处理刊出恳求：SSO认证中心验证从体系1收到的令牌。一旦验证经过，它将毁掉与用户相关的大局会话。
告诉一切注册体系执行刊出操作：SSO认证中心接着获取一切运用该用户令牌注册的体系地址，并向这些体系发送刊出恳求。
注册体系毁掉部分会话：每个收到刊出恳求的体系（如体系2，一个内部论坛服务）都会接纳到来自SSO认证中心的恳求，并毁掉与该用户相关的部分会话。
用户被重定向到登录页面：最终，SSO认证中心将用户重定向到登录页面，表明刊出进程已完结。

示例：比方，Alice在她的作业地点运用了邮件体系（体系1）和内部论坛（体系2）。她首先登录邮件体系，然后无需再次登录即可拜访论坛。当Alice在邮件体系中点击刊出时，邮件体系将这个恳求发送给SSO认证中心。SSO认证中心承认后，告诉(或许是前端主动拉取状况)论坛体系Alice已刊出。接着，论坛体系毁掉与Alice相关的会话。在这个进程中，Alice的大局会话和一切相关的部分会话都被毁掉，保证她在一切体系中都成功刊出，最终，Alice被重定向回登录页面。

架构与事务

注：此图片取自www.cnblogs.com/ywlaker/p/6…

sso-client

阻拦未登录恳求：当用户测验拜访子体系（如公司内部网站）时，假如未登录，sso-client将阻拦这个恳求，并将用户重定向到sso-server（SSO认证中心）。
接纳和存储令牌：用户在sso-server成功登录后，sso-client接纳并存储从sso-server发来的授权令牌。
校验令牌：sso-client与sso-server通讯，验证接纳到的令牌的有用性。
树立部分会话：一旦令牌验证经过，sso-client为用户在子体系中树立部分会话。
处理刊出恳求：当用户在子体系中恳求刊出时，sso-client会将刊出恳求发送到sso-server。
接纳刊出指令：sso-client还能接纳来自sso-server的刊出恳求，并据此毁掉用户的部分会话。

sso-server

验证登录信息：sso-server担任验证用户提交的登录信息。
创立大局会话：验证成功后，sso-server为用户创立大局会话。
生成授权令牌：sso-server创立授权令牌，并在需求时发送给sso-client。
发送令牌：sso-server与sso-client通讯，发送授权令牌以便树立部分会话。
校验令牌：sso-server验证从sso-client发来的令牌恳求，以保证其有用性。
体系注册：sso-server担任注册子体系，以便办理它们的认证恳求。
处理刊出恳求：sso-server接纳来自sso-client的刊出恳求，并据此毁掉大局和一切相关的部分会话。

示例

假定Alice在作业时需求拜访公司的邮件体系（体系A，一个sso-client）和人力资源办理体系（体系B，另一个sso-client）。当Alice初次测验拜访体系A时，她被重定向到sso-server（SSO认证中心）进行登录。登录后，sso-server创立一个大局会话和一个授权令牌，并将这个令牌发送回体系A。体系A接纳令牌，验证其有用性，并为Alice在其体系内创立一个部分会话。接着，当Alice拜访体系B时，由于她现已在sso-server登录，体系B能够经过与sso-server的通讯来承认她的身份，并为她创立另一个部分会话，无需她从头登录。假如Alice在任一体系中刊出，sso-client会告诉sso-server，后者随即毁掉大局会话，并告诉一切相关的sso-client毁掉它们的部分会话。

大约编码

注：编码部分运用AI生成，不一定精确，仅供参阅，假如想要精确的代码，能够检查开源的XXL-SSO项目。

ChatGPT运用了SpringSecurity结构，我不太建议运用它，我建议运用Sa-Token权限结构或许自己手写一个简略的权限模块会更好。要运用Spring Boot完结一个简略的单点登录（SSO）体系，包含 sso-server 和 sso-client，您需求创立两个独立的Spring Boot项目：一个用于sso-server，另一个用于sso-client。我将向您展现如何搭建根本结构和关键装备。请留意，为了简化，这儿的比方仅作为入门级演示，并非出产级代码。

创立 sso-server

Maven 依靠： 在 pom.xml 文件中，增加以下依靠：

<dependencies>
  <dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
  </dependency>
  <dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
  </dependency>
  <!-- 其他依靠... -->
</dependencies>

Spring Security 装备：创立一个装备类来设置Spring Security。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    // author JanYork
    http
       .authorizeRequests()
       .anyRequest().authenticated()
       .and()
       .formLogin()
       .and()
       .csrf().disable();
   }
}

用户信息服务：供给一个简略的用户信息服务。

@Service
public class UserService implements UserDetailsService {

  @Override
  public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    // 这儿应该连接到您的用户数据库，下面仅为示例
    if ("admin".equals(username)) {
      return new User("admin", "password", new ArrayList<>());
     } else {
      throw new UsernameNotFoundException("用户未找到");
     }
   }
}

创立 sso-client

Maven 依靠：同样在 pom.xml 中增加Spring Boot和Spring Security依靠。

Spring Security 装备：设置安全装备，以连接到 sso-server。

@Configuration
@EnableWebSecurity
public class ClientSecurityConfig extends WebSecurityConfigurerAdapter {

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http
       .authorizeRequests()
       .anyRequest().authenticated()
       .and()
       .oauth2Login()
       .and()
       .csrf().disable();
   }
}

资源操控器：创立一个简略的操控器来测验认证。

@RestController
public class TestController {

  @GetMapping("/")
  public String home() {
    return "欢迎来到SSO Client!";
   }
}

运转和测验

发动 sso-server：运转 sso-server 运用。
发动 sso-client：运转 sso-client 运用。
拜访客户端：在浏览器中拜访客户端运用。由于客户端装备了OAuth2登录，您将被重定向到sso-server进行认证。
登录并重定向：在 sso-server 登录后，您将被重定向回客户端运用。

留意

本例中未包含OAuth2服务器的装备，这一般更杂乱，触及客户端和服务端的注册以及令牌服务。
在实践运用中，您或许需求运用更高档的身份验证和授权服务器，如Keycloak或Auth0。
这个比方仅展现了根本结构。在实践布置时，您需求考虑更多要素，如HTTPS装备、令牌的安全性、会话办理等。

要完结完好的SSO解决计划，您或许需求花费更多时刻来深化研究Spring Security、OAuth2协议以及相关的最佳实践。

授权登录

为何诞生

授权登录诞生的首要原因是为了在维护用户隐私和安全的前提下，完结跨运用程序或服务的数据拜访和功用同享。它解决了传统登录办法中用户凭据（如用户名和暗码）需求被多个运用程序同享的问题，削减了数据泄露危险，并简化了用户操作流程。一起许多服务商都设立有敞开渠道，能够让其他公司或许个人产品运用对应的授权登录，从而完结了部分社会便利性。

Oauth2.0是什么？

OAuth 2.0是一个行业标准的授权协议，答运用户颁发第三方运用对自己在某个服务上的特定数据的有限拜访权限，而无需将自己的登录凭据（用户名和暗码）供给给第三方运用。它界说了几种授权流程，适用于不同的客户端环境和运用场景。

要去具体的了解Oauth的话仍是有些麻烦的，这儿就不多说了，假如有需求，小简能够鄙人一次写一篇Oauth相关的文章。

授权登录原理

授权登录的根本原理触及以下几个关键步骤：

用户授权恳求：用户测验经过第三方运用拜访服务时，第三方运用恳求用户的授权。
重定向到授权服务：用户被重定向到服务供给者的授权页面，以登录并承认授权。
授权码发放：服务供给者验证用户身份并供给一个授权码给第三方运用。
获取拜访令牌：第三方运用运用授权码向授权服务器恳求拜访令牌。
拜访受维护资源：第三方运用运用拜访令牌恳求用户的数据。

常见的授权登录服务

Google：供给OAuth 2.0服务，答应第三方运用拜访Google用户的根本信息、邮件、日历等。
Facebook：答运用户运用其Facebook身份在其他运用或网站上登录，并分享信息。
GitHub：供给OAuth服务，使第三方运用能够恳求用户的GitHub数据。
微信：在我国广泛运用的OAuth服务，答应经过微信账号登录第三方运用。

架构与事务

在一个典型的授权登录架构中，触及三个首要人物：

用户（资源一切者）：拥有可被拜访的数据或服务。
客户端运用（第三方运用）：希望拜访用户在服务供给者上的数据。
服务供给者（授权服务器和资源服务器）：存储用户数据的渠道，供给OAuth服务。
事务流程中，用户首先在客户端运用上建议登录或数据拜访恳求。
客户端运用将用户重定向到服务供给者的授权页面，用户在该页面上进行登录并授权。
授权后，服务供给者向客户端运用发放授权码，客户端运用再用该授权码交换拜访令牌。
最终，客户端运用运用这个令牌拜访用户在服务供给者上的受维护资源。

经过这种办法，OAuth为用户供给了一种安全的办法来答应第三方运用拜访其在不同服务上的数据，而无需露出其登录凭据。这不仅进步了安全性，一起也供给了更好的用户体会，由于用户无需为每个运用或服务创立和记住新的账户信息。

编码，测验接入第三方授权登录

注：编码部分运用AI生成，根本上不精确，仅供参阅，假如需求实践运用，能够直接运用开源项目JustAuth，几乎集成了市面上常用的第三方授权登录服务，只需求简略装备就能够完结。

要运用Spring Boot完结一个授权登录事务，一般会结合Spring Security和OAuth 2.0。以下是一个简略的授权登录完结的概要步骤，假定咱们正在创立一个答运用户经过Google账户登录的运用。

创立Spring Boot项目

首先，创立一个新的Spring Boot项目。能够运用Spring Initializr来快速生成项目结构。

增加依靠

在项意图pom.xml文件中增加必要的依靠。首要包含Spring Boot Starter Web、Spring Boot Starter Security和Spring Security OAuth2 Client。

<dependencies>
  <dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
  </dependency>
  <dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
  </dependency>
  <dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-client</artifactId>
  </dependency>
  <!-- 其他依靠... -->
</dependencies>

装备运用程序

在application.properties或application.yml文件中，增加OAuth 2.0客户端装备。你需求在Google Cloud Platform上创立一个OAuth 2.0客户端ID和密钥，并将它们增加到装备中。

spring:
  security:
   oauth2:
    client:
     registration:
      google:
       clientId: [Google-Client-ID]
       clientSecret: [Google-Client-Secret]
       scope: 
        - email
        - profile

安全装备

创立一个安全装备类，装备Spring Security以运用OAuth 2.0进行登录。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http
       .authorizeRequests(authorizeRequests -> 
        authorizeRequests
           .antMatchers("/", "/home", "/error", "/webjars/**").permitAll()
           .anyRequest().authenticated()
       )
       .oauth2Login();
   }
}

创立操控器

创立一个简略的操控器来处理登录和用户信息的显示。

@Controller
public class WebController {

  @GetMapping("/")
  public String home() {
    return "home";
   }

  @GetMapping("/user")
  @ResponseBody
  public Principal user(Principal principal) {
    return principal;
   }
}

前端页面

创立一个简略的前端页面（如home.html），在其中增加一个登录链接。

<!DOCTYPE html>
<html>
<head>
  <title>Home</title>
</head>
<body>
  <h2>Welcome</h2>
  <a href="/oauth2/authorization/google">Login with Google</a>
</body>
</html>

运转和测验

运转运用程序并拜访主页。点击“Login with Google”链接，你将被重定向到Google的登录页面。登录后，Google将重定向回你的运用，并且你能够拜访受维护的用户信息。

留意事项

保证安全性：在布置出产环境时，保证运用HTTPS。
装备Google Cloud Platform：正确装备OAuth 2.0客户端并获取必要的凭据。
用户体会：依据运用需求调整前端页面和用户流程。
数据处理：依据事务需求和隐私政策处理用户数据。

这个比方供给了一个根本的授权登录流程完结结构。依据具体的事务需求，你或许需求进一步定制安全装备、用户信息处理逻辑等。

编码，测验写一个自己的授权服务

注：编码部分运用AI生成，不一定精确，仅供参阅。

要完结一个依据Spring Boot的OAuth2授权登录服务，咱们将创立两个项目模块：一个作为授权服务器（server），另一个作为客户端（client）。下面分别说明这两个模块的根本设置和完结。

授权服务器（Server）模块

创立项目：
- 运用Spring Initializr创立一个新的Spring Boot项目，命名为AuthServer。
增加依靠：
- 在pom.xml中增加Spring Security和OAuth2依靠。

<dependencies>
  <dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
  </dependency>
  <dependency>
    <groupId>org.springframework.security.oauth</groupId>
    <artifactId>spring-security-oauth2</artifactId>
    <version>2.4.0.RELEASE</version>
  </dependency>
  <!-- 其他依靠... -->
</dependencies>

装备授权服务器：
- 创立一个装备类来设置OAuth2授权服务器，界说客户端概况和授权类型。
用户信息服务和安全装备：
- 完结UserDetailsService来供给用户认证，并装备Spring Security。

客户端（Client）模块

创立项目：
- 运用Spring Initializr创立一个新的Spring Boot项目，命名为AuthClient。
增加依靠：
- 在pom.xml中增加Spring Boot Starter Web和OAuth2客户端依靠。

<dependencies>
  <dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
  </dependency>
  <dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-client</artifactId>
  </dependency>
  <!-- 其他依靠... -->
</dependencies>

客户端装备：
- 在application.properties或application.yml中装备OAuth2客户端信息，指向授权服务器。
操控器和视图：
- 创立操控器处理登录和用户信息的显示，以及相应的前端页面。
运转和测验：
- 发动授权服务器和客户端运用，进行登录流程测验。

留意事项

安全性：在出产环境中，请运用HTTPS来保证数据传输的安全性。
数据存储：在实践运用中，你应该将用户信息存储在数据库中，并且运用加密措施来维护用户数据。
装备：在实践布置中，OAuth2的装备或许会愈加杂乱，包含令牌增强、客户端权限装备等。

经过这种办法，你能够设置一个完好的OAuth2授权登录流程，其中授权服务器担任用户认证和令牌发放，客户端担任向用户展现登录界面并运用授权服务器供给的服务。

总结与摘要

单点登录（SSO）

核心概念：答运用户运用单一凭据拜访多个运用或服务。
优势：削减记忆负担，提升安全性和用户体会。
运用：例如，运用Google账号可拜访一切Google服务。

授权登录

界说：答应运用在不同享用户凭据的状况下拜访用户在其他服务的数据。
优势：增强数据安全性，简化用户体会。
比方：运用交际媒体账号登录其他运用或服务。

SSO结合授权登录

整合办法：SSO和授权登录可结合运用，供给更全面的安全和用户体会。例如，经过Google账户进行OAuth授权登录后，用户可主动登录一切Google服务。
运用场景：适用于需求跨多个独立体系或运用供给无缝用户体会的场景。

其他

安全性与快捷性：SSO和授权登录一起增强安全性，一起供给快捷的用户拜访流程。
技能选型：依据事务需求挑选合适的SSO计划和授权登录办法。
完结留意事项：保证数据传输和存储的安全性，尊重用户隐私。

感谢大家能够阅览完这一篇长篇幅的文章，虽然看起来简略，可是只要具体深化的了解事务，才能够真正优雅的完结需求。

单点登录与授权登录业务指南

前语

何为单点？何为授权？

单点登录

授权登录

合作运用

单点登录

为何诞生？

前期计划

单点登录与前期计划比较

SSO改变

SSO原理

SSO和零信赖办法

零信赖模型的简化解说

SSO在零信赖中的人物

举例说明

如何区别不同网站的会话？

多种完结办法

刊出登录

架构与事务

sso-client

sso-server

示例

大约编码

创立 sso-server

创立 sso-client

运转和测验

留意

授权登录

为何诞生

Oauth2.0是什么？

授权登录原理

常见的授权登录服务

架构与事务

编码，测验接入第三方授权登录

创立Spring Boot项目

增加依靠

装备运用程序

安全装备

创立操控器

前端页面

运转和测验

留意事项

编码，测验写一个自己的授权服务

授权服务器（Server）模块

客户端（Client）模块

留意事项

总结与摘要

单点登录（SSO）

授权登录

SSO结合授权登录

其他

相关文章

亿级数据量场景下，如何优化数据库分页查询方法

Vite项目屏幕适配的两种方案，超详细！

与文杰老师谈–成长篇

十分钟搞定 Midjourney 付费订阅

作者信息