昨天碰到了壹篇講單點登錄（SSO）的文章，作者可能是從字面意思理解的單點登錄（只允許壹個地方登錄，壹方登陸了，另壹方就要下線，這種應該是單設備登錄）。正好最近我也在處理多系統訪問的問題，也要用到單點登錄，就打算整理點東西。
單點登錄： 英文Single Sign On，根據英文含義不難理解，即：單壹標記（單點）登錄。就是說，我只需要登錄壹次。例如：QQ，我在QQ空間登錄壹次，我可以去訪問QQ產品的其他服務：QQ郵箱、騰訊新聞等，都能保證妳的賬戶保持登錄狀態。
單設備登錄： 就是只能在壹個設備上登錄，若同時在其他設備登錄，先前登錄的用戶會被提醒：該賬戶在其他設備登錄。例如qq，小米手機登錄中，同時拿華為手機登錄該賬戶，小米手機的賬戶會被擠下線。
SSO（Single Sign-On）是壹種統壹認證和授權機制，指訪問同壹服務器不同應用中的受保護資源的同壹用戶，只需要登錄壹次，即通過壹個應用中的安全驗證後，再訪問其他應用中的受保護資源時，不再需要重新登錄驗證。
解決了用戶只需要登錄壹次就可以訪問所有相互信任的應用系統，而不用重復登錄。
如下圖所示：
當用戶第壹次訪問應用系統1的時候，因為還沒有登錄，會被引導到認證系統中進行登錄；根據用戶提供的登錄信息，認證系統進行身份效驗，如果通過效驗，應該返回給用戶壹個認證的憑據－－ticket；用戶再訪問別的應用的時候，就會將這個ticket帶上，作為自己認證的憑據，應用系統接受到請求之後會把ticket送到認證系統進行效驗，檢查ticket的合法性（4,6）。如果通過效驗，用戶就可以在不用再次登錄的情況下訪問應用系統2和應用系統3了。
從上圖可以看出sso的實現技術點：
1）所有應用系統***享 壹個身份認證系統 。
統壹的認證系統是SSO的前提之壹。
認證系統的主要功能是將用戶的登錄信息和用戶信息庫相比較，對用戶進行登錄認證；認證成功後，認證系統應該生成統壹的認證標誌（ticket），返還給用戶。
另外，認證系統還應該對ticket進行效驗，判斷其有效性。
2）所有應用系統能夠識別和提取ticket信息
要實現SSO的功能，讓用戶只登錄壹次，就必須讓應用系統能夠識別已經登錄過的用戶。
應用系統應該能對ticket進行識別和提取，通過與認證系統的通訊，能自動判斷當前用戶是否登錄過，從而完成單點登錄的功能。
關於 統壹身份認證機制 ：如下圖
①用戶請求訪問業務系統。
②業務系統在系統中查看是否有對應請求的有效令牌，若有，則讀取對應的身份信息，允許其訪問；若沒有或令牌無效，則把用戶重定向到統壹身份認證平臺，並攜帶業務系統地址，進入第③步。
③在統壹身份認證平臺提供的頁面中，用戶輸入身份憑證信息，平臺驗證此身份憑證信息，若有效，則生成壹個有效的令牌給用戶，進入第④步；若無效，則繼續進行認證，直到認證成功或退出為止。
④用戶攜帶第③步獲取的令牌，再次訪問業務系統。
⑤業務系統獲取用戶攜帶的令牌，提交到認證平臺進行有效性檢查和身份信息獲取。
⑥若令牌通過有效性檢查，則認證平臺會把令牌對應的用戶身份信息返回給業務系統，業務系統把身份信息和有效令牌寫入會話狀態中，允許用戶以此身份信息進行業務系統的各種操作；若令牌未通過有效性檢查，則會再次重定向到認證平臺，返回第③步。
1）提高用戶的效率。
用戶不再被多次登錄困擾，也不需要記住多個 ID 和密碼。另外，用戶忘記密碼並求助於支持人員的情況也會減少。
2）提高開發人員的效率。
SSO 為開發人員提供了壹個通用的身份驗證框架。
實際上，如果 SSO 機制是獨立的，那麽開發人員就完全不需要為身份驗證操心。
他們可以假設，只要對應用程序的請求附帶壹個用戶名，身份驗證就已經完成了。
3）簡化管理。
如果應用程序加入了單點登錄協議，管理用戶帳號的負擔就會減輕。
簡化的程度取決於應用程序，因為 SSO 只處理身份驗證。
所以，應用程序可能仍然需要設置用戶的屬性（比如訪問特權）。
1）不利於重構
因為涉及到的系統很多，要重構必須要兼容所有的系統，可能很耗時
2） 無人看守桌面
因為只需要登錄壹次，所有的授權的應用系統都可以訪問，可能導致壹些很重要的信息泄露。