單點登錄（Single Sign-On，簡稱SSO）是一種流行的身份驗證和授權機制，允許用戶通過一次登錄獲得對多個應用程序或系統的訪問權限。實現單點登錄可以提高用戶體驗、簡化用戶管理和減少密碼重復輸入等問題。下面是一種常見的單點登錄實現流程：
- 用戶訪問一個應用程序（稱為服務提供者）并進行登錄。
- 應用程序檢查用戶是否已經進行過身份驗證。如果沒有，應用程序將用戶重定向到身份提供者。
- 用戶被要求提供他們的憑據（如用戶名和密碼）進行登錄。
- 身份提供者驗證用戶的憑據，并生成一個身份令牌（如JSON Web Token）。
- 身份提供者將身份令牌發送回服務提供者，并將用戶重定向回原始應用程序。
- 服務提供者接收到身份令牌，并使用身份提供者提供的公鑰來驗證令牌的有效性和真實性。
- 如果身份令牌有效，服務提供者將用戶登錄到他們的系統中，并為用戶生成一個本地會話。
- 用戶現在可以在服務提供者應用程序中訪問受保護的資源，而無需再次進行身份驗證。
- 如果用戶訪問其他需要進行單點登錄的應用程序，重復上述流程。
在實現單點登錄時，通常需要使用一些標準協議和技術，如OAuth、OpenID Connect和SAML等。這些協議和技術提供了身份驗證和授權的標準方法，使不同的應用程序和身份提供者之間可以進行安全的通信和數據交換。
以下是使用Python和Flask框架實現基于OAuth 2.0的單點登錄的示例代碼：
# app.pyfrom flask import Flask, redirect, url_for, request
from oauthlib.oauth2 import WebApplicationClient
import requests
import jsonapp = Flask(__name__)
app.secret_key = "your_secret_key"
client_id = "your_client_id"
client_secret = "your_client_secret"
redirect_uri = "http://localhost:5000/callback"
authorization_endpoint = "http://localhost:8080/auth"
token_endpoint = "http://localhost:8080/token"
user_info_endpoint = "http://localhost:8080/userinfo"client = WebApplicationClient(client_id)@app.route("/")
def index():authorization_url, state = client.authorization_url(authorization_endpoint)return redirect(authorization_url)@app.route("/callback")
def callback():code = request.args.get("code")token_response = client.fetch_token(token_endpoint,code=code,client_secret=client_secret,authorization_response=request.url,)user_info_response = requests.get(user_info_endpoint, headers={"Authorization": f"Bearer {token_response['access_token']}"})user_info = json.loads(user_info_response.text)# 在此處根據user_info進行用戶登錄和授權操作# ...return "Login successful"if __name__ == "__main__":app.run(port=5000)
上述示例代碼中，我們使用了Flask框架來創建一個簡單的Web應用。我們定義了一個路由/，在該路由上發起OAuth 2.0的認證請求，并重定向到認證服務器的授權頁面。認證服務器驗證用戶的憑據后，將重定向到我們在redirect_uri中指定的回調URL，即/callback路由。在回調路由中，我們使用OAuthlib庫中的WebApplicationClient來獲取訪問令牌和用戶信息，并進行用戶登錄和授權操作。
請注意，上述代碼中的URL、client_id和client_secret等信息需要根據實際情況進行替換。此外，還需要根據OAuth 2.0的實現和具體的用戶管理系統，進行用戶登錄和授權的具體操作。
跨主域單點登錄
實現跨主域的單點登錄可以使用基于Cookie的方式來共享用戶認證信息。下面是一個簡單的示例代碼，使用Python和Flask框架來演示跨域單點登錄的流程：
- 創建認證中心（auth_center.py）：
from flask import Flask, request, make_response, jsonifyapp = Flask(__name__)@app.route("/login", methods=["POST"])
def login():username = request.form.get("username")password = request.form.get("password")# 驗證用戶名和密碼if username == "admin" and password == "password":# 生成認證tokenauth_token = "your_auth_token"# 創建認證中心響應response = make_response(jsonify({"message": "Login successful"}))# 設置跨域Cookie，使其在各個域名下分享response.set_cookie("auth_token", auth_token, domain=".example.com")return response# 登錄失敗return jsonify({"message": "Login failed"}), 401if __name__ == "__main__":app.run(port=8080)
- 創建應用1（app1.py）：
from flask import Flask, request, jsonifyapp = Flask(__name__)@app.route("/")
def index():# 獲取跨域Cookieauth_token = request.cookies.get("auth_token")if auth_token:# 在此處根據auth_token進行用戶登錄和授權操作# ...return jsonify({"message": "Authorized"})return jsonify({"message": "Unauthorized"}), 401if __name__ == "__main__":app.run(port=8000)
- 創建應用2（app2.py）：
from flask import Flask, request, jsonifyapp = Flask(__name__)@app.route("/")
def index():# 獲取跨域Cookieauth_token = request.cookies.get("auth_token")if auth_token:# 在此處根據auth_token進行用戶登錄和授權操作# ...return jsonify({"message": "Authorized"})return jsonify({"message": "Unauthorized"}), 401if __name__ == "__main__":app.run(port=9000)
上述代碼示例中，auth_center.py表示認證中心，app1.py和app2.py分別表示兩個應用。認證中心負責處理用戶登錄請求，驗證用戶名和密碼后生成認證token，并通過設置跨域Cookie的方式來分享認證token。應用1和應用2在訪問時獲取跨域Cookie，并根據認證token進行用戶登錄和授權操作。
請注意，示例代碼中的域名需根據實際情況進行修改，確保auth_center.py設置的domain屬性和應用程序運行的域名一致。另外，需要根據具體的用戶管理系統和授權策略來實現用戶登錄和授權的具體操作。
