本文介紹了單點登陸（SSO, Single Sign On）的實現原理，詳細地解釋了單點登陸的實現原理以及實現過程中的關鍵點和相關選項的含義，并且通過Josso與JBoss
服務器
的集成，簡要介紹了在JBoss環境中單點登陸的實施。
???? 隨著互聯網的不斷發展，各種
網絡
化應用服務的不斷普及，在大中型企業中，用戶可能每天需要登錄到許多不同的信息應用系統，如協同辦公系統、郵件系統、文件關系系統、各種網絡化的應用服務等。而每個系統都要求擁護遵循它們所定義的一套
安全
策略，比如要求輸入用戶名和密碼。隨著用戶所擁有的服務的不斷增多，用戶登陸所帶來的出錯可能性便會隨之增加，信息受到非法截獲和破壞的可能性也會增大，系統的安全性就會相應降低。同時對于系統管理員來說他除了要管理用戶的用戶名和密碼之外，還需要對不同的用戶進行相應安全策略的設置。這樣就勢必造成了系統和安全管理資源的開銷，降低了生產效率，同時還增加了企業IT部門的管理成本。為了解決以上的問題，現在很多企業在進行
信息化
實施的過程中引入了單點登陸，就是先通過一個應用程序的安全驗證后，再訪問其他應用中的受保護資源時，不再需要重新登錄驗證。當然，要求該用戶使用的用戶名和口令在訪問的應用中一致，且擁有足夠權限。下面我們將通過Josso與JBoss的集成的單點登陸（SSO）的實例，對單點登陸（SSO）的原理及其在JBoss環境下的技術實現進行更進一步的分析。
?
??
? 1. 什么是單點登陸（SSO）?
??? 單點登錄（SSO，Single Sign On）是指在分布式環境下，整個系統只有一個可以登錄進入的點，它對所有的請求（Request）都是通用的。單點登錄可以保證用戶能夠訪問到可以訪問的資源，如果有一個未被授權的請求要求訪問被保護的資源，這個請求將自動被導向到相應的驗證點進行登錄驗證。
??? 2. 單點登錄（SSO）的實現原理
??? （1） 登陸點。理想的情況是用戶通過任何應用系統都能進行登陸，而且效果一樣。這種單一的登陸點在整個系統的設計中是唯一認證用戶的地方，由登陸點將相應的用戶信息傳遞給應用系統，應用系統利用這些信息來進行用戶的驗證。
??? （2） 應用系統的單點登錄（SSO）集成。并不是任何系統都能夠使用SSO，只有那些符合SSO規范，使用SSO API的應用系統才具有SSO的功能。簡單地說就是要修改已有的應用系統，屏蔽已有的應用系統的用戶認證模塊，使用系統提供的SSO API來驗證用戶，以及對用戶的操作進行授權。
??? （3） 統一的認證，權限信息庫。通常SSO要求有統一的認證，權限存放庫。但現實中，有的系統無法使用外部的認證，授權信息庫，所以就需要在應用系統和SSO認證系統之間進行認證，同時進行授權信息的數據同步。
實現描述：在用戶成功通過SSO認證系統認證之后，系統提供的映射授予權限來為用戶登錄到其有權可以使用的應用系統。系統提供的映射取消用戶權限來實現用戶的注銷功能。
用戶存取由SSO認證系統所提供的 安全 策略，SSO會話服務保存了對用戶授權的證明，這樣就不再需要用戶重新進行身份驗證。在這種方式下，用戶就擁有了訪問通過SSO應用系統集成的應用服務的權限，我們提供的SSO Session將會為它保持會話服務。（見圖1）
圖1 SSO登陸過程
??? 同時，SSO應用系統還包括的與登錄恰恰相反的，統一的注銷點，即用戶注銷，就失去了應用系統集成的應用服務的訪問權限。（見圖2）
圖2 SSO注銷過程
?
?
3. Josso與JBoss集成的單點登錄（SSO）環境的搭建
??? （1）、部署環境的準備及配置。
??? 在搭建單點登陸（SSO）開發環境之前，需要準備的開發工具有：
??? JDK1.5.04 （http://java.sun.com）?
??? JBoss 4.0.4GA （http://www.jboss.org）?
??? josso-1.4.tar （http://www.josso.org）?
??? MySQL 5.0和MySQL的JDBC
驅動
mysql-connector-java-3.1.13-bin.jar （http://www.mysql.org）?
??? 需要設置的環境有：
<!--
Code highlighting produced by Actipro CodeHighlighter (freeware)
http://www.CodeHighlighter.com/
-->
JAVA_HOME
=
C:\Program Files\Java\jdk1.
5
.0_09 JBOSS_HOME
=
D:\JBoss4.
0
.5GA JOSSO_HOME
=
D:\josso1.
4
??? （2）、定義用戶模型和安全策略。這里我們采用JAAS的用戶模型進行數據模型的設計（如圖3）。
圖3 SSO的用戶模型
??? 同時，向數據庫里添加一些數據。以上操作的SQL腳本另見附件createdb.sql。
??? （3）、配置Josso的SSO gateway。在src\resources下可以見到josso-gateway-config.xml，修改其中的設置，原文件中有關于JDBC，DataSource，LDAP等配置的模版，這里我們設置最簡單的JDBC連接數據庫進行認證，需要修改的有JDBC Credential Store和JDBC Credential Store。詳細修改的文件見附件
<!--
Code highlighting produced by Actipro CodeHighlighter (freeware)
http://www.CodeHighlighter.com/
-->
JOSSO_USER : 用戶的登陸驗證信息 JOSSO_ROLE : 保存所有可定義的用戶角色 JOSSO_USER_ROLE : 保存每個用戶與角色關聯的信息 JOSSO_USER_PROPERTY : 保存用戶的個人信息
josso-gateway-config.xml。
<!--
Code highlighting produced by Actipro CodeHighlighter (freeware)
http://www.CodeHighlighter.com/
-->
<!--
=========================================================
-->
<!--
JDBC Credential Store
-->
<!--
=========================================================
-->
<
credential
-
store
>
<
class
>
org.josso.gateway.identity.service.store.db.JDBCIdentityStore
</
class
>
<
credentialsQueryString
>
SELECT login AS username , password AS password FROM josso_user WHERE login
=
?
</
credentialsQueryString
>
<
connectionName
>
root
</
connectionName
>
<
connectionPassword
>
123456
</
connectionPassword
>
<
connectionURL
>
jdbc:mysql:
//
localhost:3306/josso_exam</connectionURL>
<
driverName
>
com.mysql.jdbc.Driver
</
driverName
>
</
credential
-
store
>
<!--
=========================================================
-->
<!--
JDBC Identity Store
-->
<!--
=========================================================
-->
<
sso
-
identity
-
store
>
<
class
>
org.josso.gateway.identity.service.store.db.JDBCIdentityStore
</
class
>
<
userQueryString
>
SELECT login FROM josso_user WHERE login
=
?
</
userQueryString
>
<
rolesQueryString
>
SELECT josso_role.name FROM josso_role , josso_user_role , josso_user WHERE josso_user.login
=
?
AND josso_user.login
=
josso_user_role.login AND josso_role.name
=
josso_user_role.name
</
rolesQueryString
>
<
userPropertiesQueryString
>
SELECT
'
user.description
'
AS name , description AS value FROM josso_user WHERE login
=
?
UNION SELECT name AS name , value AS value FROM josso_user_property WHERE login
=
?
</
userPropertiesQueryString
>
<
connectionName
>
root
</
connectionName
>
<
connectionPassword
>
123456
</
connectionPassword
>
<
connectionURL
>
jdbc:mysql:
//
localhost:3306/josso_exam</connectionURL>
<
driverName
>
com.mysql.jdbc.Driver
</
driverName
>
</
sso
-
identity
-
store
>
??? （4）、將MySQL的
驅動
拷貝到/src/webapp/josso/WEB-INF/lib目錄下，供JDBC連接數據庫時調用。?
??? （5）、配置Josso的登陸點和注銷點，在josso-agent-config.xml中修改，這里我們保持Josso系統默認的登陸和注銷設置，同時注意應當把<endpoint>選項的localhost改為主機相對應的IP地址，否則SSO將會失效。?
??? （6）、進入命令行模式，轉到Josso的主目錄下，執行build.bat war、build.bat install-jboss4和build.bat deploy-jboss4即可。?
??? （7）、修改JBoss server\default\conf目錄下的login-config.xml文件，在里面添加Josso的login模型。
<!--
Code highlighting produced by Actipro CodeHighlighter (freeware)
http://www.CodeHighlighter.com/
-->
<
application
-
policy name
=
"
josso
"
>
<
authentication
>
<
login
-
module code
=
"
org.josso.jb4.agent.JBossSSOGatewayLoginModule
"
flag
=
"
required
"
>
<
module
-
option name
=
"
debug
"
>
true
</
module
-
option
>
</
login
-
module
>
</
authentication
>
</
application
-
policy
>
??? （8）、修改JBoss server/default/deploy/jbossweb-tomcat55.sar目錄下的server.xml文件，在其中添加<Value>選項和<Realm>選項。
<!--
Code highlighting produced by Actipro CodeHighlighter (freeware)
http://www.CodeHighlighter.com/
-->
<
Valve className
=
"
org.josso.tc55.agent.SSOAgentValve
"
debug
=
"
1
"
/>
<
Realm className
=
"
org.josso.jb4.agent.JBossCatalinaRealm
"
appName
=
"
josso
"
userClassNames
=
"
org.josso.gateway.identity.service.BaseUserImpl
"
roleClassNames
=
"
org.josso.gateway.identity.service.BaseRoleImpl
"
debug
=
"
1
"
/>
??? （9）、啟動JBoss。在瀏覽器中輸入 http://localhost:8080/partnerapp/protected ，如果能轉到登陸界面，然后輸入用戶名（user1）和密碼（user1pwd）能夠進行登陸，那么Josso和JBoss單點登陸（SSO）的集成就大功告成了。
??? 4. Josso與Web應用
安全
策略的管理
??? Josso在Web應用安全策略的管理主要通過JBoss容器的進行用戶權限的分配和取消。它的整個應用模型主要是基于JAAS的安 全策略模型進行拓展，并對Web頁面層和EJB應用組件分別進行安全控制，下面我們通過Josso自帶的一個例子來說明。
Web頁面層的安全控制是在web.xml中通過<login-config>、<security-constraint>和<security-role>標簽定義來實現的。
以下是Josso中partnerapp例子對Web頁面層的安全控制實現：
<!--
Code highlighting produced by Actipro CodeHighlighter (freeware)
http://www.CodeHighlighter.com/
-->
<
security
-
constraint
>
<!--
Sample Security Constraint
-->
<
web
-
resource
-
collection
>
<!--
We
'
re going to protect this resource and make it available only to users in "role1". -->
<
web
-
resource
-
name
>
public
-
resources
</
web
-
resource
-
name
>
<
url
-
pattern
>/
resources
/*
</url-pattern> <http-method>HEAD</http-method> <http-method>GET</http-method> <http-method>POST</http-method> <http-method>PUT</http-method> <http-method>DELETE</http-method> </web-resource-collection> </security-constraint> <security-constraint> <web-resource-collection> <web-resource-name>protected-resources</web-resource-name> <url-pattern>/josso/*</url-pattern> <url-pattern>/protected/*</url-pattern> <http-method>HEAD</http-method> <http-method>GET</http-method> <http-method>POST</http-method> <http-method>PUT</http-method> <http-method>DELETE</http-method> </web-resource-collection> <auth-constraint> <role-name>role1</role-name> </auth-constraint> <user-data-constraint> <transport-guarantee>NONE</transport-guarantee> </user-data-constraint> </security-constraint> <login-config> <auth-method>FORM</auth-method> <form-login-config> <form-login-page>/login-redirect.jsp</form-login-page> <form-error-page>/login-redirect.jsp</form-error-page> </form-login-config> </login-config> <security-role > <description>Role 1</description> <role-name>role1</role-name> </security-role>
???? 對于EJB應用組件只需在ejb-jar.xml的部署描述符中添加<security-role>中定義相應的安全策略，對于JBoss來說同時還需要在jboss.xml中添加<security-domain>，以保證當前域的安全策略生效。在partnerapp中的實現如下：
<!--
Code highlighting produced by Actipro CodeHighlighter (freeware)
http://www.CodeHighlighter.com/
-->
<?
xml version
=
"
1.0
"
encoding
=
"
ISO-8859-1
"
?>
<!
DOCTYPE ejb
-
jar PUBLIC
'
-//Sun Microsystems, Inc.//DTD Enterprise JavaBeans 2.0//EN
'
'
http://java.sun.com/dtd/ejb-jar_2_0.dtd
'
>
<
ejb
-
jar
>
<
display
-
name
>
Partner Component
</
display
-
name
>
<
enterprise
-
beans
>
<
session
>
<
ejb
-
name
>
PartnerComponentEJB
</
ejb
-
name
>
<
home
>
org.josso.samples.ejb.PartnerComponentHome
</
home
>
<
remote
>
org.josso.samples.ejb.PartnerComponent
</
remote
>
<
ejb
-
class
>
org.josso.samples.ejb.PartnerComponentEJB
</
ejb
-
class
>
<
session
-
type
>
Stateless
</
session
-
type
>
<
transaction
-
type
>
Container
</
transaction
-
type
>
</
session
>
</
enterprise
-
beans
>
<
assembly
-
descriptor
>
<
security
-
role
>
<
description
>
Role
1
</
description
>
<
role
-
name
>
role1
</
role
-
name
>
</
security
-
role
>
<
method
-
permission
>
<
description
>
Security attributes
for
'
PartnerComponenttEJB
'
methods
</
description
>
<
role
-
name
>
role1
</
role
-
name
>
<
method
>
<
ejb
-
name
>
PartnerComponentEJB
</
ejb
-
name
>
<
method
-
name
>*</
method
-
name
>
</
method
>
</
method
-
permission
>
<
container
-
transaction
>
<
method
>
<
ejb
-
name
>
PartnerComponentEJB
</
ejb
-
name
>
<
method
-
name
>*</
method
-
name
>
</
method
>
<
trans
-
attribute
>
Required
</
trans
-
attribute
>
</
container
-
transaction
>
</
assembly
-
descriptor
>
</
ejb
-
jar
>
<?
xml version
=
"
1.0
"
encoding
=
"
UTF-8
"
?>
<!
DOCTYPE jboss PUBLIC
"
-//JBoss//DTD JBOSS 3.0//EN
"
"
http://www.jboss.org/j2ee/dtd/jboss_3_0.dtd
"
>
<
jboss
>
<
security
-
domain
>
java:
/
jaas
/
josso
</
security
-
domain
>
<
enterprise
-
beans
>
<
session
>
<
ejb
-
name
>
PartnerComponentEJB
</
ejb
-
name
>
<
jndi
-
name
>
josso
/
samples
/
PartnerComponentEJB
</
jndi
-
name
>
</
session
>
</
enterprise
-
beans
>
</
jboss
>
??? 以上是Josso對Web應用層和EJB組件所關聯的安全策略的部署描述，另外在Josso驗證的驗證過程中，登陸頁面、注銷頁面和通過驗證后用戶的信息都是通過JBoss
服務器
支持的單點登陸模式來實現的。JBoss
服務器
支持的登錄驗證機制主要有：基于HTTP的基本驗證（采用簡單的Base64編碼），基于HTTPS的客戶端驗證（采用證書驗證），基于表單驗證（通過表單提交的信息，自己定制驗證方式）等；而通過驗證后的用戶信息可以通過Servlet的request對象的getUserPrincipal()方法來獲得。在這里我們就不多做介紹。相關的信息可以查閱JBoss及Servlet的文檔。?
??? 5. 小結
?
??? 單點登陸（SSO）是一個很大的議題，在本文中筆者只是簡單地通過對單點登陸（SSO）的實現原理和Josso在JBoss環境下的實施的介紹，讓讀者在一個側面對單點登陸（SSO）有一定認識。
更多文章、技術交流、商務合作、聯系博主
微信掃碼或搜索：z360901061
微信掃一掃加我為好友
QQ號聯系： 360901061
您的支持是博主寫作最大的動力，如果您喜歡我的文章，感覺我的文章對您有幫助，請用微信掃描下面二維碼支持博主2元、5元、10元、20元等您想捐的金額吧，狠狠點擊下面給點支持吧，站長非常感激您！手機微信長按不能支付解決辦法：請將微信支付二維碼保存到相冊，切換到微信，然后點擊微信右上角掃一掃功能，選擇支付二維碼完成支付。
【本文對您有幫助就好】元
