单点登录（SSO）基础

         单点登录（SSO, Single Sign-On） 是一种身份认证机制，允许用户在多个独立的应用系统中只进行一次登录操作，即可访问所有授权的应用或服务，而无需每次切换应用时都进行登录。SSO 提高了用户体验的便捷性，同时简化了身份验证管理流程。单点登录（SSO, Single Sign-On） 是一种身份认证机制，允许用户在多个独立的应用系统中只进行一次登录操作，即可访问所有授权的应用或服务，而无需每次切换应用时都进行登录。SSO 提高了用户体验的便捷性，同时简化了身份验证管理流程。

1.单点登录的工作原理

单点登录的工作原理：

1）用户请求登录：用户访问某个应用程序，并发出登录请求。

2）重定向到身份提供者（IdP）：应用程序会将用户重定向到一个 身份提供者（IdP），如Google、Facebook或企业内部的身份认证系统。身份提供者是一个负责验证用户身份的服务。

3）用户验证身份：用户在身份提供者的登录界面输入凭据（例如用户名和密码），并完成身份验证。

4）颁发认证令牌：验证通过后，身份提供者生成一个 身份令牌（如ID Token），并将其传回用户所在的应用程序。应用程序通过令牌验证用户身份。

5）用户访问多个应用：用户成功登录后，可以在同一个会话中访问与该身份提供者集成的其他应用，而不需要再次输入凭据。

2.单点登录的常见实现方式

1）基于 Cookie 的 SSO：

         用户登录一次，身份验证状态会通过共享的 Cookie 在多个子域名之间传递。这种方式通常用于同一组织内部的应用系统。

2）基于 Token 的 SSO：

         使用 JWT（JSON Web Token） 或 SAML（Security Assertion Markup Language） 令牌，应用程序通过这些令牌在各个系统之间共享用户的身份验证状态。

3）OAuth 2.0 + OIDC：

         使用 OAuth 2.0 的授权机制和 OIDC（OpenID Connect）的身份验证扩展，用户可以通过第三方身份提供者（如Google、Facebook）登录，避免创建多个账户。

3.单点登录的常见场景

1）企业内部应用：许多企业采用 SSO 让员工通过一次登录即可访问公司内部的多个系统，例如电子邮件、CRM、ERP等。

2）第三方登录集成：很多网站支持用户使用 Google、Facebook、Apple 等第三方账户进行登录，实现统一认证。

3) 教育系统：教育机构使用 SSO 让学生和教师通过校园账户访问不同的在线学习平台和资源库。

4.单点登录的优势

1）简化用户体验：用户只需登录一次，即可访问多个应用程序，无需在每个系统中重复输入用户名和密码。

2）增强安全性：通过集中化的身份验证管理，安全策略（如密码复杂度、双因素认证等）可以更容易地统一实施，减少用户使用弱密码或密码重复的问题。

3）减少IT管理工作：IT团队只需维护一个中央身份验证系统，简化了用户管理、权限分配和密码重置流程。

4）跨平台支持：无论用户使用的是Web应用、移动应用或桌面应用，SSO都可以提供一致的登录体验。

5.SSO常见技术方案

1）OAuth 2.0 + OpenID Connect（OIDC）：为Web应用和移动应用提供基于令牌的身份验证和授权机制，常用于第三方身份提供者集成。

2）SAML（Security Assertion Markup Language）：基于XML的协议，广泛应用于企业SSO方案。

3）Kerberos：一种网络身份验证协议，常用于局域网内的身份认证。