我感覺SSO還是跳來跳去的好 原創設計并實現高擴展性，安全的，功能完備的SSO系統，主要基于url跳轉和數字簽名技術 支持跨服務器，跨域名，在原理上支持跨平臺。 如果用的是.net平臺，我這個是現成的組件，可拿過去就用。如果覺得此組件不符合需求，還可以根據接口規范靈活實現自己的 

更新：新增登錄流程圖：

[原創]單點登陸(SSO)組件的設計與實現二-登錄流程圖 


    先說幾句廢話，自我感覺此方案還不錯，至少解決了安全性的問題，也實現了統一登出，能跨平臺，跨服務期，跨域名，當然需要相應的聯盟站點的支持，但從原理上絕對能跨平臺。設計和具體實現的描述比較長，今天先介紹一部分

1引言

1.1 編寫目的

詳細說明單點登錄組件(SSO)的設計思想和實現方法，是日后該組件維護和擴展工作的基本依據文檔。預期讀者是要實現單點登錄(SSO)系統的系統設計人員，系統開發人員，系統維護人員。

1.2 背景

說明：

1. 待開發軟件系統的名稱；jillzhang的SSO組件
2. 本項目的任務提出者為jillzhang、開發者為jillzhang、用戶為有用戶整合需求平臺的開發和設計人員。

1.3 定義

SSO是Single Sign On的縮寫，該技術主要用于用戶整合。
認證中心：認證中心是用戶注冊，成員站點管理，用戶登錄，驗證登錄信息，保存登錄 信息，頒發登錄認證的中心站點。 
成員站點: 成員站點是遵從認證中心規則，享用認證中心統一用戶的站點。  
注冊站點：如果想成為成員站點，必須先在認證中心進行站點登記，登記后，認證中心會保存注冊站點的配置信息，并將該配置信息發給注冊站點。注冊站點也需保存這些配置信息，供日后與認證中心交互時候使用。  
聯盟用戶：指在認證中心注冊的用戶，這些用戶能被所有的成員站點所共享。
登錄請求：指成員站點向認證中心發出的帶有站點配置的用戶登錄請求信息。
登出請求：只用戶向認證中心發出的要求退出登錄的請求。  
登錄請求驗證：指的是認證中心根據存儲的站點信息對成員站點的登錄請求信息進行來 源和真實性的驗證。
登出請求驗證：指認證中心在接受來自成員站點的登出請求的時候，對請求的來源和真實性進行的驗證
登錄答復：指認證中心對經過驗證的登錄請求作出的答復信息。該答復包含用戶的登錄信息。
在線聯盟用戶數：指的是在成員站點中，在線的聯盟用戶數量。  
在線聯盟用戶列表：指的是在成員站點中，在線的聯盟用戶的列表信息。 
登錄站點清單：是由認證中心維護的用戶的登錄站點信息，當用戶注銷的時候，會遍歷此清單，逐個登出。

1.4 參考資料

本組件的設計和實現參考了下面的系統和書籍

1. http://www.rzrgm.cn/David-weihw/archive/2007/01/25/630621.html
2. 《數字簽名技術原理及技術》
   
   

2 程序系統的結構

本組件包括下面幾個應用接口，分別如下：

1. ISite：ISite是用于描述和操作成員站點的接口
2. IUser : IUser是用于描述和操作聯盟用戶的接口
3. IServer:IServer是認證中心處理登錄請求和登出請求的接口
4. IClient: IClient是成員站點發出登錄請求和處理登錄答復的接口
5. IUserLoginList：IUserLoginList是描述和操作用戶登錄站點清單的接口
6. ILoginRequest：是記錄和操作成員站點發送登錄請求的接口。
7. ILoginRequestContainer：用于保存和維護登錄請求列表的接口
8. IUserStateContainer：是聯盟站點中保存用聯盟用戶登錄信息的接口。

它們的定義如下：

組件的工作流程描述如下：

1. 第一步，首先注冊聯盟站點，注冊聯盟站點用到接口ISite
2. 第二步：注冊好聯盟站點之后，將認證中心產生的站點配置信息（包括站點編號，站點公鑰，站點私鑰，認證中心的登錄地址，認證中心登出地址）存儲到聯盟站點本地。
3. 在認證中心上注冊一新用戶，注冊用戶需要使用IUser接口
4. 在聯盟站點對認證中心發出登錄請求
5. 認證中心驗證登錄請求
6. 在認證中心進行登錄
7. 登錄成功后，保存登錄票據，認證中心對聯盟站點發送登錄答復，并將此次登錄記錄到登錄站點清單
8. 聯盟站點接收到登錄答復后，先進性驗證，正確后，根據登錄答復中的信息產生用戶登錄票據，并且更新聯盟用戶登錄數和登錄列表
9. 在聯盟站點中發出登出請求
10. 認證中心驗證登出請求，正確的話，銷毀認證中心用戶登錄票據，通過用戶的登錄站點清單，逐個調用聯盟站點的登出頁面
11. 在認證中心回調聯盟站點的登出頁的時候，聯盟站點會在登出頁中銷毀各個的登錄票據，并更新在線用戶數和用戶列表。

 

3 ISite接口設計說明 

3.1 接口描述

ISite接口包括7個屬性和2個方法，分別用于在認證中心用于描述和操作站點的配置

信息。

其中，各個屬性的含義如下

還包括兩個方法，分別為：

3.2功能

該接口能在認證中心完成新聯盟站點添加操作，添加之前可以驗證站點是否存在。

3.3 默認實現

在SSO組件中，已經實現了一個默認的ISite對象。為DefaultServer/ DefaultSite.cs，它將放置在認證中心根目錄下的sites.config文件作為存儲介質，通過Add方法添加新聯盟站點后的效果為：附件中的site.config文件，可自行下載文件后，看其結構。

 

 

4 IUser接口設計說明

4.1接口描述

IUser接口包括2個屬性和2個方法，用于在認證中心端描和操作述聯盟用戶。

其中，各個屬性的含義如下

還包括兩個方法，分別為：

4.2功能

該接口能在認證中心完成新聯用戶添加操作，添加之前可以驗證用戶是否存在。

4.3 默認實現

在SSO組件中，已經實現了一個默認的IUser對象。為DefaultServer/ DefaultUser.cs，它將放置在認證中心根目錄下的users.config文件作為存儲介質，通過Register方法添加新聯盟用戶的效果為：附件中的users.config文件，可自行下載文件后，看其結構。

 

 

5 IUserLoginList接口設計說明

5.1接口描述

IUserLoginList接口包括3個方法，用于在認證中心描述和操作用戶登錄的站點清單。

還包括三個方法，分別為：

5.2功能

該接口在認證中心用于用戶記錄和維護用戶登錄的站點清單  

5.3 默認實現

在SSO組件中，已經實現了一個默認的IUserLoginList對象。為DefaultServer/ UserLoginLog.cs，它通過一個Collection對象來實現用戶登錄站點清單的維護工作。

 

 

6 IServer接口設計說明

6.1接口描述

IServer接口包括2個屬性和5個方法，用于接收，驗證登錄請求，發送登錄答復，接搜，驗證登出請求，創建本地登錄票據，維護用戶登錄清單。

兩個屬性為：

 

還包括三個方法，分別為：

6.2功能

該接口在認證中心，用于接收，驗證登錄請求，發送登錄答復，接搜，驗證登出請求，創建本地登錄票據，維護用戶登錄清單

6.3 默認實現

在SSO組件中，已經實現了一個默認的IServer對象。為DefaultServer/ LoginRequest.cs。

 

 

7 ILoginRequest接口設計說明

7.1接口描述

ILoginRequest接口包括2個屬性，用于記錄和描述聯盟站點的登錄請求，這些信息在發出登錄請求的時候創建，在收到登錄答復的時候銷毀。用于確保登錄答復的不可復用性。

兩個屬性為：

7.2功能

該接口在聯盟站點，用于記錄和描述聯盟站點的登錄請求，這些信息在發出登錄請求的時候創建，在收到登錄答復的時候銷毀。用于確保登錄答復的不可復用性。7.3 默認實現

7.3 默認實現

在SSO組件中，已經實現了一個默認的ILoginRequest對象。為DefaultServer/ LoginRequest.cs。

 

8 ILoginRequestContainer接口設計說明

8.1接口描述

ILoginRequestContainer接口包括3個方法，用于在聯盟站點中記錄和維護登錄請求

 

8.2功能

該接口在聯盟站點，用于在聯盟站點中記錄和維護登錄請求

8.3 默認實現

在SSO組件中，已經實現了一個默認的ILoginRequestContainer對象。為DefaultServer/ LoginRequestContainer.cs。

 

9 IUserStateContainer接口設計說明

9.1接口描述

IUserStateContainer接口包括5個方法，用于在聯盟站點中記錄和維護在線聯盟用戶信息

 

9.2功能

該接口在聯盟站點，用于在聯盟站點中記錄和維護在線聯盟用戶信息

9.3 默認實現

在SSO組件中，已經實現了一個默認的IUserStateContainer對象。為DefaultServer/ UserState.cs。

 

 

10 IClient接口設計說明

10.1接口描述

IClient接口包括6個屬性和2個方法，用于發出登錄請求和登出請求

8個屬性為：

2個方法為

10.2功能

該接口在聯盟站點，用于發出登錄請求和登出請求

10.3 默認實現

在SSO組件中，已經實現了一個默認的IClient對象。為DefaultServer/ DefaultClient.cs

 

11 本系統的安全性

11.1 登錄請求的格式

聯盟站點向認證中心發送的登錄請求格式如下：

站點信息+登錄請求編號+時間戳+空用戶信息+對站點信息和登錄清秋號的簽名信息。
除了簽名信息之外的全部信息均為明文傳送，但因為重要的數據均經過數字簽名，結果是站點信息和登錄請求編號是不能被篡改的，保證了認證中心收到的登錄請求的真實性。

11.2 登錄答復的格式

認證中心發給聯盟站點的登錄答復格式如下

登錄用戶信息+登錄請求編號+時間戳+對用戶信息和登錄請求號和時間戳的簽名信息
其中登錄用戶信息是經過非對稱加密的。請求號和時間戳因為經過簽名，故也不能篡改，這樣就可以保證聯盟站點收到的登錄答復的真實性和完整性。并且非正常聯盟站點無法解密用戶信息，也無法從中獲取好處。  

篇幅太大，下面還有很長的內容要說，先發布以下，感興趣的朋友可以先下載程序嘗試使用。以后，我會逐漸添加Sql 和 Oracle的實現。您也可以根據接口規范，開發符合自己系統需求的SSO系統，今天先到這吧

程序文件：/Files/jillzhang/SSO.rar

更新：新增登錄流程圖：

[原創]單點登陸(SSO)組件的設計與實現二-登錄流程圖