SSO 什么是单点登录sso「什么是单点登录」 _为什么淘宝能自动登录

一、什么是单点登录？
单点登录的英文名叫做：Single Sign On（简称 sso ）。
在初学/以前的时候，一般我们就单系统，所有的功能都在同一个系统上。

文章插图
后来，我们为了合理利用资源和降低耦合性，于是把单系统拆分成多个子系统。
回顾：分布式基础知识

文章插图
比如阿里系的淘宝和天猫，很明显地我们可以知道这是两个系统，但是你在使用的时候，登录了天猫，淘宝也会自动登录。

文章插图
简单来说，单点登录就是在多个系统中，用户只需一次登录，各个系统即可感知该用户已经登录。
二、回顾单系统登录
在我初学JavaWeb的时候，登录和注册是我做得最多的一个功能了（初学Servlet的时候做过、学SpringMVC的时候做过、跟着做项目的时候做过…），反正我也数不清我做了多少次登录和注册的功能了...这里简单讲述一下我们初学时是怎么做登录功能的。
众所周知，HTTP是无状态的协议，这意味着服务器无法确认用户的信息。于是乎，W3C就提出了：给每一个用户都发一个通行证，无论谁访问的时候都需要携带通行证，这样服务器就可以从通行证上确认用户的信息。通行证就是 Cookie。
如果说Cookie是检查用户身上的”通行证“来确认用户的身份，那么session就是通过检查服务器上的”客户明细表“来确认用户的身份的。Session相当于在服务器中建立了一份“客户明细表”。
HTTP协议是无状态的，Session不能依据HTTP连接来判断是否为同一个用户。于是乎：服务器向用户浏览器发送了一个名为JESSIONID的Cookie，它的值是Session的id值。其实Session是依据Cookie来识别是否是同一个用户。
所以，一般我们单系统实现登录会这样做：
登录：将用户信息保存在Session对象中如果在Session对象中能查到，说明已经登录如果在Session对象中查不到，说明没登录（或者已经退出了登录）注销（退出登录）：从Session中删除用户的信息记住我（关闭掉浏览器后，重新打开浏览器还能保持登录状态）：配合Cookie来用我之前Demo的代码，可以参考一下：
/** * 用户登陆 */@PostMapping(value = "https://www.pyjctjgg.com/user/session", produces = {"application/json;charset=UTF-8"})public Result login(String mobileNo, String password, String inputCaptcha, HttpSession session, HttpServletResponse response) { //判断验证码是否正确 if (WebUtils.validateCaptcha(inputCaptcha, "captcha", session)) { //判断有没有该用户 User user = userService.userLogin(mobileNo, password); if (user != null) { /*设置自动登陆，一个星期. 将token保存在数据库中*/ String loginToken = WebUtils.md5(new Date().toString()session.getId()); user.setLoginToken(loginToken); User user1 = userService.userUpload(user); session.setAttribute("user", user1); CookieUtil.addCookie(response,"loginToken",loginToken,604800); return ResultUtil.success(user1); } else { return ResultUtil.error(ResultEnum.LOGIN_ERROR); } } else { return ResultUtil.error(ResultEnum.CAPTCHA_ERROR); }}/** * 用户退出 */@DeleteMapping(value = "https://www.pyjctjgg.com/session", produces = {"application/json;charset=UTF-8"})public Result logout(HttpSession session,HttpServletrequest request,HttpServletResponse response ) { //删除session和cookie session.removeAttribute("user"); CookieUtil.clearCookie(request, response, "loginToken"); return ResultUtil.success();}/*** @author ozc* @version 1.0* * 拦截器；实现自动登陆功能*/public class UserInterceptor implements HandlerInterceptor {@Autowiredprivate UserService userService;public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object o) throws Exception { User sessionUser = (User) request.getSession().getAttribute("user"); // 已经登陆了，放行 if (sessionUser != null) { return true; } else { //得到带过来cookie是否存在 String loginToken = CookieUtil.findCookieByName(request, "loginToken"); if (StringUtils.isNotBlank(loginToken)) { //到数据库查询有没有该Cookie User user = userService.findUserByLoginToken(loginToken); if (user != null) { request.getSession().setAttribute("user", user); return true; } else { //没有该Cookie与之对应的用户(Cookie不匹配) CookieUtil.clearCookie(request, response, "loginToken"); return false; } } else { //没有cookie、也没有登陆。是index请求获取用户信息，可以放行 if (request.getRequestURI().contains("session")) { return true; } //没有cookie凭证 response.sendRedirect("/login.html"); return false; } }}}总结一下上面代码的思路：