首页教程行业资讯正文

Java实现单点登录（SSO）的原理与实践

uncle 行业资讯 2025年08月6日

0 收藏 0 点赞 724 浏览 4587 个字

摘要 :

文章目录一、单点登录核心概念与流程详解（一）单点登录涉及的主要角色（二）单点登录的典型流程二、Java实现单点登录的常用协议和技术（一）CAS（Central Auth……

文
章
目
录

一、单点登录核心概念与流程详解

（一）单点登录涉及的主要角色
（二）单点登录的典型流程

二、Java实现单点登录的常用协议和技术

（一）CAS（Central Authentication Service）
（二）SAML（Security Assertion Markup Language）
（三）OAuth2和OpenID Connect（OIDC）
（四）基于Cookie/Session的自定义实现

三、Java实现单点登录的常见方式

（一）使用成熟的SSO框架/服务器（推荐）
（二）集成第三方身份认证服务
（三）自建SSO系统

四、使用Spring Security实现单点登录（以OAuth2/OIDC为例）
五、单点登录实现过程中的注意事项

（一）安全性问题
（二）单点注销（Single Logout，SLO）
（三）会话管理
（四）跨域问题

用户常常需要访问多个不同的应用系统，如果每个系统都要单独登录，输入用户名和密码，那无疑是一件既繁琐又耗时的事情。单点登录（Single Sign-On，简称SSO）的出现，很好地解决了这个问题。它的核心思想就是让用户只需登录一次，就能访问多个相互信任的应用系统，无需在各个应用中重复输入登录信息。在Java开发领域，实现单点登录有多种方式，下面我们就来详细探讨一下。

一、单点登录核心概念与流程详解

（一）单点登录涉及的主要角色

用户（User）：就是那些想要访问应用系统的人，比如我们日常使用各种软件的普通用户。
服务提供商（Service Provider，SP）：这是用户希望访问的应用系统，就像我们常用的各种Java Web应用，比如企业内部的办公系统、电商平台的用户端应用等。
身份提供商（Identity Provider，IdP）：它是负责用户身份认证的中心服务。所有的服务提供商都信任身份提供商给出的认证结果，就好比是一个大家都认可的“身份验证中心”。

（二）单点登录的典型流程

当用户尝试访问一个受单点登录保护的服务提供商应用时，应用会先检查用户是否已经登录。
如果发现用户未登录，服务提供商应用就会把用户重定向到身份提供商那里进行认证。这时候，用户会看到身份提供商的登录页面。
用户在身份提供商的登录页面输入自己的登录凭据（用户名和密码等）进行认证。
身份提供商验证用户身份，如果验证成功，就会生成一个认证凭证，这个凭证可以是一个特殊的Cookie或者令牌。然后，身份提供商带着这个凭证，把用户重定向回服务提供商应用。
服务提供商应用收到身份提供商返回的凭证后，会向身份提供商发起验证请求，确认这个凭证是不是有效的。
身份提供商验证凭证有效后，会把用户的身份信息告诉服务提供商应用。
服务提供商应用根据得到的用户信息，在本地建立一个会话，这样用户就可以顺利访问应用里的资源了。
之后，当用户访问同一个单点登录域内的其他服务提供商应用时，这些应用会检测到用户带有身份提供商的认证凭证，同样会向身份提供商验证这个凭证。只要验证通过，用户就能直接访问这些应用，而不需要再次登录了。

二、Java实现单点登录的常用协议和技术

（一）CAS（Central Authentication Service）

CAS是一个非常流行的开源单点登录解决方案，专门为Web应用设计。它有一套基于TGT（Ticket Granting Ticket）和ST（Service Ticket）的票据机制。身份提供商负责发放和验证这些票据，服务提供商则使用票据向身份提供商换取用户信息。在Java开发中，CAS有成熟的实现和客户端库，开发人员可以很方便地将其集成到项目中。

（二）SAML（Security Assertion Markup Language）

SAML是一种基于XML的开放标准，主要用于在不同的安全域之间交换身份验证和授权数据。在企业级的单点登录场景中，SAML应用得非常广泛。在Java开发环境里，有很多库和框架都支持SAML，像OpenSAML，开发人员可以借助这些工具来实现基于SAML的单点登录功能。

（三）OAuth2和OpenID Connect（OIDC）

OAuth2是一种授权框架，而OpenID Connect是构建在OAuth2之上的身份认证层。OpenID Connect提供了标准的认证流程，并且通过ID Token来提供用户信息。虽然OAuth2主要用于授权，但和OpenID Connect结合起来，就可以实现单点登录。在Java开发中，像Spring Security这样的框架，对OAuth2和OpenID Connect的支持非常好，使用起来很方便。

（四）基于Cookie/Session的自定义实现

在一些比较简单的内部系统中，我们也可以通过共享Cookie或者集中的Session管理来实现单点登录。比如，把认证信息存储在一个共享域的Cookie里，或者利用Redis等集中式缓存来存储用户的Session。不过，这种方式在安全性设计上需要格外小心，而且在扩展性方面，可能不如前面提到的标准协议。

三、Java实现单点登录的常见方式

（一）使用成熟的SSO框架/服务器（推荐）

这是目前在Java开发中最常用也最推荐的方式。我们可以部署一个专门的单点登录服务器，比如CAS Server，然后在各个Java应用中集成相应的单点登录客户端库。这种方式的好处是可以利用现有框架的成熟功能和高安全性。

CAS的集成：在Java Web应用中集成CAS Client，客户端的主要职责是拦截那些未认证的请求，把用户重定向到CAS Server进行登录。当用户从CAS Server返回后，客户端会验证票据，并获取用户信息。
Spring Security的应用：Spring Security是Java领域非常强大的安全框架，它提供了丰富的单点登录支持，包括对SAML、OAuth2/OIDC的集成模块。我们可以通过配置Spring Security来实现服务提供商或者身份提供商的功能。

（二）集成第三方身份认证服务

现在很多云服务提供商，像AWS Cognito、Auth0、Keycloak等，都提供了身份认证和单点登录服务。我们的Java应用可以通过标准协议，比如OIDC、SAML，与这些服务进行对接，从而实现单点登录功能。这种方式可以节省我们自己开发和维护身份认证系统的成本。

（三）自建SSO系统

如果项目有特殊的需求，并且开发团队具备相应的技术实力，我们也可以基于标准协议（如SAML、OIDC）或者自定义协议来开发自己的单点登录系统。不过，这种方式需要投入比较高的开发和维护成本，一般适用于对单点登录功能有特殊定制要求的场景。

四、使用Spring Security实现单点登录（以OAuth2/OIDC为例）

Spring Security在Java领域是事实上的安全标准，对单点登录的支持非常强大。下面以基于OpenID Connect实现服务提供商（SP）为例，给大家介绍一下大致的实现步骤：
假设我们有一个实现了OIDC协议的身份提供商，我们的Java Web应用要作为服务提供商与之集成。

添加Spring Security依赖：在Maven或Gradle项目中，添加Spring Security OAuth2 Client的依赖，这样我们的项目才能使用Spring Security提供的单点登录相关功能。
配置OIDC Client：在Spring Boot应用中，我们可以通过application.yml或application.properties文件来配置身份提供商的信息，这些信息包括issuer-uri、client-id、client-secret、redirect-uri等。配置完成后，Spring Security会自动配置OAuth2LoginConfigurer。
配置安全规则：使用Spring Security的配置类（WebSecurityConfigurerAdapter或SecurityFilterChain Bean）来定义哪些请求需要认证，以及认证成功后用户应该跳转到哪个页面等规则。比如下面这段代码：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
           .authorizeHttpRequests(authorizeRequests ->
                authorizeRequests
                   .requestMatchers(\"/\", \"/public\").permitAll() // 允许公共访问
                   .anyRequest().authenticated() // 其他所有请求都需要认证
            )
           .oauth2Login(oauth2Login ->
                oauth2Login
                   .loginPage(\"/oauth2/authorization/my-oidc-provider\") // 自定义登录页（可选）
                   .defaultSuccessUrl(\"/home\") // 认证成功后跳转的页面
            )
           .logout(logout ->
                logout
                   .logoutSuccessUrl(\"/\") // 注销成功后跳转的页面
                   .permitAll()
            );
        return http.build();
    }
}

在这段代码中，我们通过authorizeHttpRequests定义了哪些请求可以直接访问，哪些需要认证；通过oauth2Login配置了登录相关的页面和认证成功后的跳转页面；通过logout配置了注销相关的设置。
4. 处理用户信息：当认证成功后，Spring Security会把用户信息（Claims）放到Authentication对象中。我们在Controller或者其他地方，就可以获取这些信息，以便根据用户的身份进行相应的操作。