php sso 转转转

Posted 2020-08-24 tao

 

 

Linzj‘s Blog

 

• 首页
• 新随笔
• 联系
• 订阅
• 管理

随笔 - 100  文章 - 0  评论 - 84

PHP版单点登陆实现方案

 

摘要：

本文主要介绍了利用webservice,session,cookie技术，来进行通用的单点登录系统的分析与设计。具体实现语言为php。单点 登录，英文名为Single Sign On，简称为 SSO，是目前企业，网络业务的用户综合处理的重要组成部分。而SSO的定义，是在多个应用系统中，用户只需要登陆一次就可以访问所有相互信任的应用系 统。

动机：

用过ucenter的全站登录方式的朋友，应该都知道这是典型的观察者模式的解决方案。用户中心作为subject, 其所属observer的注册和删除统一在ucenter的后台进行。而各个子应用站点都对应一个observer。每次用户中心的登录动作，都会触发 js脚本回调w3c标准的子站登录接口(api/uc.php)。

这种方式的缺点，本人认为主要是两点：1. 子站点过多时，回调接口相应增多，这个在分布子站的量的限制上，如何控制来使登录效率不会太低，不好把握; 2. 当某个子站回调接口出现问题时，默认的登录过程会卡住(可以限制登录程序的执行时间，但相应出现问题子站后面的子站的回调接口就调不到了。

基于以上问题，在实际开发过程中，本人设计了另一套单点登录系统。

一. 登陆原理说明

单点登录的技术实现机制：当用户第一次访问应用系统1的时候，因为还没有登录，会被引导到认证系统中进行登录;根据用户提供的登录信息，认证系统进行身份效验，如果通过效验，应该返回给用户一个认证的凭据--ticket;用户再访问别的应用的时候，就会将这个ticket带上，作为自己认证的凭据，应用系统接受到请求之后会把ticket送到认证系统进行效验，检查ticket的合法性。如果通过效验，用户就可以在不用再次登录的情况下访问应用系统2和应用系统3了。

可以看出，要实现SSO，需要以下主要的功能：

a) 所有应用系统共享一个身份认证系统;

b) 所有应用系统能够识别和提取ticket信息;

c) 应用系统能够识别已经登录过的用户，能自动判断当前用户是否登录过，从而完成单点登录的功能

基于以上基本原则，本人用php语言设计了一套单点登录系统的程序，目前已投入正式生成服务器运行。本系统程序，将ticket信息以全系统唯一的 session id作为媒介，从而获取当前在线用户的全站信息(登陆状态信息及其他需要处理的用户全站信息)。

二. 过程说明：

登陆流程:

1. 第一次登陆某个站：

a) 用户输入用户名+密码,向用户验证中心发送登录请求

b) 当前登录站点，通过webservice请求,用户验证中心验证用户名，密码的合法性。如果验证通过，则生成ticket，用于标识当前会话的用户，并将当前登陆子站的站点标识符记录到用户中心，最后

c) 将获取的用户数据和ticket返回给子站。如果验证不通过，则返回相应的错误状态码。

d) 根据上一步的webservice请求返回的结果，当前子站对用户进行登陆处理：如状态码表示成功的话，则当前站点通过本站cookie保存ticket，并本站记录用户的登录状态。状态码表示失败的话，则给用户相应的登录失败提示。

2. 登陆状态下，用户转到另一子：

a) 通过本站cookie或session验证用户的登录状态：如验证通过，进入正常本站处理程序;否则户中心验证用户的登录状态(发送ticket到用户验证中心)，如验证通过，则对返回的用户信息进行本地的登录处理，否则表明用户未登录。

登出流程

a) 当前登出站清除用户本站的登录状态 和 本地保存的用户全站唯一的随机id

b) 通过webservice接口，清除全站记录的全站唯一的随机id。webservice接口会返回，登出其他已登录子站的javascript代码，本站输出此代码。

c) js代码访问相应站W3C标准的登出脚本

三. 代码说明：

本文所涉及到相关代码，已打包上传，如有兴趣，可在本文最后下载链接处点击下载。

1. 登陆流程：

用户从打开浏览器开始，第一个登陆的子站点，必须调用UClientSSO::loginSSO()方法。该方法返回全站唯一的随机id用于标识该用户。该随机id在UClientSSO::loginSSO()中已通过本站cookie保存，即该子站点保留了用户已登陆标识的存根于本站。

           a) UClientSSO::loginSSO()方法如下：

1. 1 <?php
2. 2 /**
3. 3 * 用户验证中心 登陆用户处理
4. 4 *
5. 5 * @param string $username - 用户名
6. 6 * @param string $password - 用户原始密码
7. 7 * @param boolean $remember - 是否永久记住登陆账号
8. 8 * @param boolean $alreadyEnc - 传入的密码是否已经经过simpleEncPass加密过
9. 9 *
10. 10 * @return array - integer $return[\'status\'] 大于 0:返回用户 ID，表示用户登录成功
11. 11 * -1:用户不存在，或者被删除
12. 12 * -2:密码错
13. 13 * -11：验证码错误
14. 14 * string $return[\'username\'] : 用户名
15. 15 * string $return[\'password\'] : 密码
16. 16 * string $return[\'email\'] : Email
17. 17 */
18. 18
19. 19 static public function loginSSO($username, $password, $remember=false, $alreadyEnc=false) {
20. 20 self::_init();
21. 21 self::_removeLocalSid();
22. 22 $ret = array();
23. 23
24. 24 //
25. 25 //1. 处理传入webservice接口的参数
26. 26 //
27. 27 $_params = array(
28. 28 \'username\' => $username,
29. 29 \'password\' => $alreadyEnc ? trim($password) : self::simpleEncPass(trim($password)),
30. 30 \'ip\' => self::onlineip(),
31. 31 \'siteFlag\' => self::$site,
32. 32 \'remember\' => $remember
33. 33 );
34. 34 $_params[\'checksum\'] = self::_getCheckSum($_params[\'username\'] . $_params[\'password\'] .
35. 35 $_params[\'ip\'] . $_params[\'siteFlag\'] . $_params[\'remember\']);
36. 36
37. 37 //
38. 38 // 2.调用webservice接口，进行登陆处理
39. 39 //
40. 40 $aRet = self::_callSoap(\'loginUCenter\', $_params);
41. 41
42. 42 if (intval($aRet[\'resultFlag\']) > 0 && $aRet[\'sessID\']) {
43. 43 //成功登陆
44. 44 //设置本地session id
45. 45 self::_setLocalSid($aRet[\'sessID\']);
46. 46
47. 47 //设置用户中心的统一session id脚本路径
48. 48 self::$_synloginScript = urldecode($aRet[\'script\']);
49. 49
50. 50 $ret = $aRet[\'userinfo\'];
51. 51 } else {
52. 52
53. 53 $ret[\'status\'] = $aRet[\'resultFlag\'];
54. 54 }
55. 55
56. 56 return $ret;
57. 57 }//end of function [/php]
58. 58
59. 59 b) 用户验证中心的webservice服务程序，接收到登陆验证请求后，调用UCenter::loginUCenter()方法来处理登陆请求。
60. 60 [php]/**
61. 61 * 用户验证中心 登陆用户处理
62. 62 *
63. 63 * @param string $username
64. 64 * @param string $password
65. 65 * @param string $ip
66. 66 * @param string $checksum
67. 67 * @return array
68. 68 */
69. 69 static public function loginUCenter($username, $password, $ip, $siteFlag, $remember=false) {
70. 70 self::_init();
71. 71 session_start();
72. 72 $ret = array();
73. 73 $arr_login_res = login_user($username, $password, $ip);
74. 74 $res_login = $arr_login_res[\'status\']; //
75. 75 $ret[\'resultFlag\'] = $res_login;
76. 76
77. 77 if ($res_login < 1) {
78. 78 //登陆失败
79. 79 } else {
80. 80
81. 81 //登陆成功
82. 82 $_SESSION[self::$_ucSessKey] = $arr_login_res;
83. 83
84. 84 $_SESSION[self::$_ucSessKey][\'salt\'] =
85. 85 self::_getUserPassSalt($_SESSION[self::$_ucSessKey][\'username\'], $_SESSION[self::$_ucSessKey][\'password\']);
86. 86
87. 87 $ret[\'userinfo\'] = $_SESSION[self::$_ucSessKey];
88. 88 $ret[\'sessID\'] = session_id(); //生成全站的唯一session id，作为ticket全站通行
89. 89
90. 90 //
91. 91 //合作中心站回调登陆接口(设置用户中心的统一session id)
92. 92 //
93. 93 self::_createCoSitesInfo();
94. 94 $uinfo = array();
95. 95 $_timestamp = time();
96. 96 $_rawCode = array(
97. 97 \'action\' => \'setSid\',
98. 98 \'sid\' => $ret[\'sessID\'],
99. 99 \'time\' => $_timestamp,
100. 100 );
101. 101 if ($remember) {
102. 102 $uinfo = array(
103. 103 \'remember\' => 1,
104. 104 \'username\' => $username,
105. 105 \'password\' => $password
106. 106 );
107. 107 }
108. 108
109. 109 $ret[\'script\'] = \'\';
110. 110 $_rawStr = http_build_query(array_merge($_rawCode, $uinfo));
111. 111
112. 112 //
113. 113 // 合作站点的全域cookie设置脚本地址
114. 114 //
115. 115 foreach ((array)self::$_coSitesInfo as $_siteInfo) {
116. 116 $_code = self::authcode($_rawStr, \'ENCODE\', $_siteInfo[\'key\']);
117. 117 $_src = $_siteInfo[\'url\'] . \'?code=\' . $_code . \'&time=\' . $_timestamp;
118. 118 $ret[\'script\'] .= urlencode(\'\');
119. 119 }
120. 120
121. 121 //
122. 122 // 记住已登陆战
123. 123 //
124. 124 self::registerLoggedSite($siteFlag, $ret[\'sessID\']);
125. 125
126. 126 unset($ret[\'userinfo\'][\'salt\']);
127. 127 }
128. 128
129. 129 return $ret;
130. 130 }
131. 131
132. 132 ?>

 

2. 本站登陆成功后，进行本地化的用户登陆处理，其后验证用户是否登陆只在本地验证。（本地存取登陆用户状态的信息，请设置为关闭浏览器就退出）

        3. 当检测用户登陆状态时，请先调用本地的验证处理，若本地验证不通过，再调用UClientSSO::checkUserLogin()方法到用户中心检测用户的登陆状态。

a) UClientSSO::checkUserLogin()方法如下：

1. 1 <?php
2. 2 /**
3. 3 * 用户单点登陆验证函数
4. 4 *
5. 5 * @return array - integer $return[\'status\'] 大于 0:返回用户 ID，表示用户登录成功
6. 6 * 0:用户没有在全站登陆
7. 7 * -1:用户不存在，或者被删除
8. 8 * -2:密码错
9. 9 * -3:未进行过单点登陆处理
10. 10 * -11：验证码错误
11. 11 * string $return[\'username\'] : 用户名
12. 12 * string $return[\'password\'] : 密码
13. 13 * string $return[\'email\'] : Email
14. 14 */
15. 15 public static function checkUserLogin(){
16. 16 self::_init();
17. 17 $ret = array();
18. 18 $_sessId = self::_getLocalSid();
19. 19 if (empty($_sessId)) {
20. 20 //永久记住账号处理
21. 21 if(isset($_COOKIE[_UC_USER_COOKIE_NAME]) && !empty($_COOKIE[_UC_USER_COOKIE_NAME])) {
22. 22
23. 23 //
24. 24 // 根据cookie里的用户名和密码判断用户是否已经登陆。
25. 25 //
26. 26 $_userinfo = explode(\'|g|\', self::authcode($_COOKIE[_UC_USER_COOKIE_NAME], \'DECODE\', self::$_authcodeKey));
27. 27
28. 28 $username = $_userinfo[0];
29. 29 $password = isset($_userinfo[1]) ? $_userinfo[1] : \'\';
30. 30 if (empty($password)) {
31. 31 $ret[\'status\'] = -3;
32. 32 } else {
33. 33 return self::loginSSO($username, $password, true, true);
34. 34 }
35. 35
36. 36 } else {
37. 37 $ret[\'status\'] = -3;
38. 38 }
39. 39
40. 40 } else {
41. 41 //
42. 42 //本站原先已经登陆过，通过保留的sesson id存根去用户中心验证
43. 43 //
44. 44 $_params = array(
45. 45 \'sessId\' => $_sessId,
46. 46 \'siteFlag\' => self::$site,
47. 47 \'checksum\' => md5($_sessId . self::$site . self::$_mcComunicationKey)
48. 48 );
49. 49 $aRet = self::_callSoap(\'getOnlineUser\', $_params);
50. 50 if (intval($aRet[\'resultFlag\']) > 0) {
51. 51 //成功登陆
52. 52 $ret = $aRet[\'userinfo\'];
53. 53 } else {
54. 54 $ret[\'status\'] = $aRet[\'resultFlag\'];
55. 55 }
56. 56 }
57. 57
58. 58 return $ret;
59. 59 } [/php]
60. 60
61. 61 b) 用户验证中心的webservice服务程序，接收到检验登陆的请求后，调用UCenter::getOnlineUser()方法来处理登陆请求：
62. 62 [php]/**
63. 63 * 根据sid，获取当前登陆的用户信息
64. 64 *
65. 65 * @param string $sessId - 全站唯一session id，用做ticket
66. 66 * @return array
67. 67 */
68. 68 /**
69. 69 * 根据sid，获取当前登陆的用户信息
70. 70 *
71. 71 * @param string $sessId - 全站唯一session id，用做ticket
72. 72 * @return array
73. 73 */
74. 74 static public function getOnlineUser($sessId, $siteFlag) {
75. 75 self::_init();
76. 76 session_id(trim($sessId));
77. 77 session_start();
78. 78
79. 79 $ret = array();
80. 80 $_userinfo = $_SESSION[self::$_ucSessKey];
81. 81
82. 82 if (isset($_userinfo[\'username\']) && isset($_userinfo[\'password\']) &&
83. 83 self::_getUserPassSalt($_userinfo[\'username\'], $_userinfo[\'password\'])) {
84. 84 $ret[\'resultFlag\'] = "1";
85. 85 $ret[\'userinfo\'] = $_userinfo;
86. 86
87. 87 self::registerLoggedSite($siteFlag, $sessId); //记住已登陆战
88. 88 unset($ret[\'userinfo\'][\'salt\']);
89. 89 } else {
90. 90 $ret[\'resultFlag\'] = "0";
91. 91 }
92. 92
93. 93 return ($ret);
94. 94 }
95. 95 ?>

 

4. 单点登出时，调用UClientSSO::logoutSSO()方法。调用成功后，如需其他已登陆站立即登出，请调用 UClientSSO::getSynloginScript()方法获取W3C标准的script，在页面输出。
             a) UClientSSO::logoutSSO()方法如下：         

1. <?php
2. /**
3. * 全站单点登出
4. * - 通过webservice请求注销掉用户的全站唯一标识
5. *
6. * @return integer 1: 成功
7. * -11：验证码错误
8. */
9. public static function logoutSSO(){
10. self::_init();
11. $_sessId = self::_getLocalSid();
13. //
14. //本站没有登陆的话，不让同步登出其他站
15. //
16. if (empty($_sessId)) {
17. self::_initSess(true);
18. return false;
19. }
20. $_params = array(
21. \'sessId\' => $_sessId,
22. \'siteFlag\' => self::$site,
23. \'checksum\' => md5($_sessId . self::$site . self::$_mcComunicationKey)
24. );
26. $aRet = self::_callSoap(\'logoutUCenter\', $_params);
27. if (intval($aRet[\'resultFlag\']) > 0) {
28. //成功登出
29. self::_removeLocalSid(); //移除本站记录的sid存根
30. self::$_synlogoutScript = urldecode($aRet[\'script\']);
31. $ret = 1;
32. } else {
33. $ret = $aRet[\'resultFlag\'];
34. }
35. return intval($ret);
36. } [/php]
38. b) 用户验证中心的webservice服务程序，接收到全站登出请求后，调用UCenter::loginUCenter()方法来处理登陆请求：
39. [php]/**
40. * 登出全站处理
41. *
42. * @param string - 全站唯一session id，用做ticket
43. * @return boolean
44. */
45. static public https怎么强制转成http

    WS转WSS协议

    YouTUBE上的视频怎么转哉

    VMWARE怎么改BIOS（转）

    [转转]反调试技巧总结-原理和实现-----转

    转转转！[Spring MVC] - 500/404错误处理-SimpleMappingExceptionResolver