轻量级 SSO 方略

单点登录 SSO（Single Sign On）是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。打通所有系统的账户密码，只需要记住一个就行，而且登录一个系统后，打开其他系统不需要再登录。广义的单点登录概念还涵盖了第三方登录：己方应用信任第三方应用，用户只需在第三方应用上登录一次，就可以访问己方应用。

更高阶的产品 IAM（Identity and Access Management），即“身份识别与访问管理”，具有单点登录、强大的认证管理、基于策略的集中式授权和审计、动态授权、企业可管理性等功能。参考开源项目 Keycloak。

OIDC

OIDC 是 OpenID Connect，官网介绍。

感觉 OAuth 太负盛名了，以至于后来在 OIDC 反而难以企及前辈 OAuth。倒是大家谈论比较多的是 JWT（例如https://www.cnblogs.com/lyzg/p/6132801.html），——实际谈 JWT 就是在实现 OIDC，反而 OIDC 大家不怎么爱谈！但我们要知道的是，真正诠释这些的，做点单点登录的，——是 OIDC 规范，JWT 只是 OIDC 规范下的一种 Token 协议，再说句难听的，如果 JWT 不满足或者有问题，换别的 Token 实现规则也行。

不过话说回来，OIDC 与 OAuth 看上去大体是相近，只是把应用场景稍作转换，另外就是返回 Token 的不同，OAuth 不限定 Token 具体实现如何，而 OIDC 推荐带用户信息的 JWT。所以，这么说，也不能怪人们总爱谈 JWT 而忽视 OIDC

部署

目标是部署简单，且灵活多种方式。下面是 SSO 中心的部署方式。

单独部署整合部署
部署形态WAR/JAR 包，单独进程运行JAR 包引入依赖，或源码整合
优点独立维护占资源更低

除了 SSO 中心的部署，还有客户端以 JAR 包的形式提供。

无状态设计

传统认证基于 Cookie+Session 的方式，是有状态的；单机时代问题不大，但到了集群的时候，如何同步 Session 是件麻烦的事情。另外一个方法是绑定 Session 到指定某一台机器，但这样不仅带来复杂性，而且还不能彻底解决问题。因此，渐渐有了以下分野：

  • 服务端是无状态的：服务端组件不保存会话状态。
  • 服务端是有状态的：服务端组件保存了会话状态。

我们主张服务端无状态的设计。当服务端组件不保存任何会话状态时，伸缩将比较容易，直接增加/减少物理服务器的台数即可。《Web应用中的状态（会话状态、应用状态、有状态协议、无状态协议、REST无状态约束）》这文章分析得很透彻了。

关于 Token 的设计

Token 从简单到复杂，可以采取下面几种方案。

  • 最简单的 Token，就是随机字符串，那么我们用 UUID/GUID 即可
  • 如果有验证 AuthToken 合法性需求，可以将 UserName+ 时间戳加密生成，服务端解密之后验证合法性
  • JWT。我们后面重点说 JWT

可配置

强调系统的鲁棒性，从最简单的组件到复杂的组件，均可支持，例如，缓存组件，简单点的你可以使用本地的 Servlet Session，高级一点的可以采用 Redis。

应用 App

每个想要接入OAuth 授权服务的第三方客户端都需要事先在服务端这里“备案”，这样可以更好的管理接入的第三方应用。App 多数时候与 Client 的概念是一致的。

注册应用的时候一般需要提供一些基本信息，比如应用名称、网址、logo 等。主要需要以下几个字段：

  • name：应用的名称，这个便于后台管理用的
  • client_id：每个应用客户端的 client_id 是唯一的，相当于用户名，通常是一个随机生成的字符串，client_id 可以直接写在 Javascript 或者源码页面里面
  • client_secret：这个秘钥是应用客户端和 OAuth2.0 服务端共同持有，用于鉴别请求中的身份，通常也是一个随机生成的字符串。client_secret 必须保证绝对机密，不能泄露给其他人。如果你部署的应用无法保证 client_secret 安全的话，比如Javascript 应用或者 Native APP，那么则不能使用 client_secret。一般来说，只有服务器端才可以保存 client_secret
  • redirect_uri：第三方应用的地址。Redirect URI 可以在用户授权完成之后重定向回你的应用。Redirect URI 授权服务器只会重定向用户到已经注册过的 URI，以避免一些恶意攻击

模块设计

表设计及界面设计如下

CREATE TABLE `app` (`id` INT(10) NOT NULL AUTO_INCREMENT COMMENT '主键 id，自增',`pid` INT(10) NOT NULL DEFAULT '0' COMMENT '父级 id',`name` VARCHAR(20) NOT NULL COMMENT '名称' COLLATE 'utf8mb4_unicode_ci',`content` VARCHAR(256) NULL DEFAULT NULL COMMENT '简介' COLLATE 'utf8mb4_unicode_ci',`client_id` VARCHAR(256) NOT NULL COMMENT '客户端 id' COLLATE 'utf8mb4_unicode_ci',`client_secret` VARCHAR(256) NOT NULL COMMENT '客户端秘钥' COLLATE 'utf8mb4_unicode_ci',`redirect_uri` VARCHAR(256) NOT NULL COMMENT '用户授权完成之后重定向回你的应用' COLLATE 'utf8mb4_unicode_ci',`type` VARCHAR(20) NULL DEFAULT 'MISC' COMMENT '应用类型：HTML, APP，API_SERVICE, RPC_SERVICE, MISC' COLLATE 'utf8mb4_unicode_ci',`logo` VARCHAR(200) NULL DEFAULT NULL COMMENT '图标' COLLATE 'utf8mb4_unicode_ci',`stat` TINYINT(3) NULL DEFAULT NULL COMMENT '数据字典：状态',`extend` TEXT NULL DEFAULT NULL COMMENT '扩展 JSON 字段' COLLATE 'utf8mb4_unicode_ci',`creator` VARCHAR(50) NULL DEFAULT NULL COMMENT '创建人名称（可冗余的）' COLLATE 'utf8mb4_bin',`creator_id` INT(10) NULL DEFAULT NULL COMMENT '创建人 id',`create_date` DATETIME NOT NULL DEFAULT CURRENT_TIMESTAMP COMMENT '创建日期',`updater` VARCHAR(50) NULL DEFAULT NULL COMMENT '修改人名称（可冗余的）' COLLATE 'utf8mb4_bin',`updater_id` INT(10) NULL DEFAULT NULL COMMENT '修改人 id',`update_date` DATETIME NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP COMMENT '修改日期',PRIMARY KEY (`id`) USING BTREE,UNIQUE INDEX `id_UNIQUE` (`id`) USING BTREE
)
COMMENT='应用/客户端'

在这里插入图片描述

计划

抽象 App 概念，可纳入 System，利用 pid 做层级。

授权模式对比总结

本文只对前后端授权常见的授权码模式做详细介绍，其他授权模式可自行了解，这里只做简单介绍。

在这里插入图片描述

配置

用户密码的加密规则

用户密码当然不能明文保存到数据库中，因为一旦泄露密码，危害的不止系统本身，还有危害用户的切身利益（因为用户不同系统的密码可能是一样的）。那么怎么实现一个加密规则呢？

AJ-IAM 把这个问题开放出来，允许用户自定义自己的加密规则。下面是一个简单的 MD5 加盐配置例子。

/*** 指定密码的加密规则*/
@Bean("passwordEncode")
Function<String, String> passwordEncode() {return PasswordEncoder::md5salt;
}

因为比较简单的缘故，我们并没有设计一个 Java Interface 去定义，而是一个 Lambda：Function<String, String>搞定。输入参数是明文，返回值是密文。要知道，Spring 对 Lambda 也是可以注入的。PasswordEncoder::md5salt参见：

package com.ajaxjs.user.service.business;import com.ajaxjs.util.Digest;/*** 密码加密规则*/
public class PasswordEncoder {/*** 盐值*/private static final String SALT = "@#D2s!As12";/*** 基本的密码加密** @param psw 明文* @return 密文*/public static String md5salt(String psw) {return Digest.md5(psw + SALT);}
}
  • 认证（Authentication），识别你是谁。即在网站上用来识别某个用户是否是注册过的合法用户。本文前半段皆在讲认证；
  • 授权（Authorization），识别你能做什么。即在网站上用来识别某个用户是否有某方面的权限。本文后半段皆在讲授权。

开源参考

  • 符节开源 JAP https://gitee.com/fujieid/jap、https://gitee.com/fujieid/jap-ids-oauthserver
  • ArkID ： 企业级IDaaS/IAM平台系统
  • TopIAM 数字身份管控平台
  • 推荐七个非常实用的OAuth开源项目
  • MITREid Connect

安全考量

Insufficient Redirect URI validation: The risk of allowing to dynamically add arbitrary query parameters and fragments to the redirect_uri。这是一种 OAuth 2.0 和 OpenID Connect 1.0 实现缺陷模式，允许动态添加查询参数和片段到 redirect_uri。如果 redirect_uri 没有得到适当的验证，攻击者可以构造一个包含指向攻击者控制的服务器的 URL 的链接。这可以用来欺骗 AS 将授权代码发送给攻击者。如果用户在用户代理中打开此链接，AS 将重定向用户代理到恶意 URL。攻击者可以捕获伪造 URL 中传递的代码值，然后将其提交给 AS 令牌端点。如果您想测试 AS 是否容易受到不足的重定向 URI 验证，请使用 HTTP 拦截代理（例如 ZAP）捕获流量。启动 OAuth 流并在授权请求处暂停它。更改 redirect_uri 的值并观察响应。调查响应并确定是否接受了任意 redirect_uri 参数。如果 AS 将用户代理重定向到您指定的 redirect_uri，则 AS 未正确验证 redirect_uri。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/172711.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

C# 递归算法使用简介_常用整理

C# 递归算法使用简介_常用整理

一、递归简介 递归算法是一种直接或者间接调用自身函数或者方法的算法。 递归算法的实质是把问题分解成规模缩小的同类问题的子问题&#xff0c;然后递归调用方法来表示问题的解。递归算法对解决一大类问题很有效&#xff0c;它可以使算法简洁和易于理解。 递归本质是循环&a…
阅读更多...
【linux】SourceForge 开源软件开发平台和仓库

【linux】SourceForge 开源软件开发平台和仓库

在linux上面安装服务和工具。我们经常会下载安装包。今天推荐一个网站。 SourceForge 开源软件开发平台和仓库 ​ 全球最大开源软件开发平台和仓库 SourceForge.net&#xff0c;又称SF.net&#xff0c;是开源软件开发者进行开发管理的集中式场所。 SourceForge.net由VA Softwa…
阅读更多...
如何使用ffmpeg制作透明背景的视频

如何使用ffmpeg制作透明背景的视频

最近我们尝试在网页上叠加数字人讲解的功能&#xff0c;发现如果直接在网页上放一个矩形的数字人视频&#xff0c;效果会很差&#xff0c;首先是会遮挡很多画面的内容&#xff0c;其次就是不管使用任何任务背景&#xff0c;画面都和后面的网页不是很协调&#xff0c;如图所示&a…
阅读更多...
Flutter笔记：完全基于Flutter绘图技术绘制一个精美的Dash图标（下）

Flutter笔记：完全基于Flutter绘图技术绘制一个精美的Dash图标（下）

Flutter笔记 完全基于Flutter绘图技术绘制一个精美的Dart吉祥物Dash 作者&#xff1a;李俊才 &#xff08;jcLee95&#xff09;&#xff1a;https://blog.csdn.net/qq_28550263 邮箱 &#xff1a;291148484163.com 本文地址&#xff1a;https://blog.csdn.net/qq_28550263/arti…
阅读更多...
【JavaEE】HTTP协议

【JavaEE】HTTP协议

HTTP协议 HTTP是什么?HTTP 协议格式HTTP 请求格式HTTP响应格式协议格式总结 HTTP 请求 (Request)认识 URLURL 基本格式 关于 URL encode认识 "方法" (method)1. GET 方法2. POST 方法 认识请求 "报头" (header) HTTP 响应详解认识 "状态码" (st…
阅读更多...
Azure - 机器学习：创建机器学习所需资源，配置工作区

Azure - 机器学习：创建机器学习所需资源，配置工作区

目录 一、Azure机器学习工作区与计算实例简要介绍工作区计算实例 二、创建工作区1. 登录到 Azure 机器学习工作室2. 选择“创建工作区”3. 提供以下信息来配置新工作区&#xff1a;4. 选择“创建”以创建工作区 三、创建计算实例四、工作室实战4.1 工作室快速导览4.2 从示例笔记…
阅读更多...
「Java开发指南」如何在MyEclipse中使用JPA和Spring管理事务？（二）

「Java开发指南」如何在MyEclipse中使用JPA和Spring管理事务？（二）

本教程中介绍一些基于JPA/ spring的特性&#xff0c;重点介绍JPA-Spring集成以及如何利用这些功能。您将学习如何&#xff1a; 为JPA和Spring设置一个项目逆向工程数据库表来生成实体实现创建、检索、编辑和删除功能启用容器管理的事务 在上文中&#xff08;点击这里回顾>…
阅读更多...
Flink将数据写入MySQL(JDBC)

Flink将数据写入MySQL(JDBC)

一、写在前面 在实际的生产环境中&#xff0c;我们经常会把Flink处理的数据写入MySQL、Doris等数据库中&#xff0c;下面以MySQL为例&#xff0c;使用JDBC的方式将Flink的数据实时数据写入MySQL。 二、代码示例 2.1 版本说明 <flink.version>1.14.6</flink.version…
阅读更多...
DBSCAN算法c++实现

DBSCAN算法c++实现

首先计算出距离每个点e以内的点&#xff0c;如果个数>minPts,则找出它的直接密度可达和间接可达的点&#xff0c;用visited标记点是否已经在簇中&#xff0c;循环直到最后一个点。 #include <fstream> #include <vector> #include <iostream> #include &…
阅读更多...
广州华锐互动：VR技术应用到工程项目施工安全培训的好处

广州华锐互动：VR技术应用到工程项目施工安全培训的好处

随着科技的飞速发展&#xff0c;虚拟现实(VR)技术已经深入到各个领域。在建筑施工领域&#xff0c;VR技术的应用为工程项目施工安全培训带来了许多好处。本文将探讨VR技术在这方面的优势和应用。 首先&#xff0c;VR技术能够提供沉浸式的安全培训体验。通过VR设备&#xff0c;学…
阅读更多...
x210项目重新回顾之十七升级到linux4.19.114 +buildroot2018再讨论

x210项目重新回顾之十七升级到linux4.19.114 +buildroot2018再讨论

代码参考https://github.com/colourfate/x210_bsp/ 他的是linux_4.10(dtb为 s5pv210-x210..dtb)我打算用linux4.19.114(dtb为 s5pv210-smdkv210.dtb) &#xff0c;所以修改build.sh ------------------------------------------------------------------------------ 5 M…
阅读更多...
【开源】基于SpringBoot的高校学院网站的设计和实现

【开源】基于SpringBoot的高校学院网站的设计和实现

目录 一、摘要1.1 项目介绍1.2 项目录屏 二、功能模块2.1 学院院系模块2.2 竞赛报名模块2.3 教育教学模块2.4 招生就业模块2.5 实时信息模块 三、系统设计3.1 用例设计3.2 数据库设计3.2.1 学院院系表3.2.2 竞赛报名表3.2.3 教育教学表3.2.4 招生就业表3.2.5 实时信息表 四、系…
阅读更多...
python之计算平面点集的的面积

python之计算平面点集的的面积

在当今数据驱动的世界中&#xff0c;计算平面点集的最小外接轮廓面积被广泛应用于各种实际场景中。它是一项重要而魅力十足的任务&#xff0c;旨在找到一个最小的矩形或多边形区域&#xff0c;能够完全包围给定的离散点集。这个看似简单的问题背后隐藏着许多挑战&#xff0c;需…
阅读更多...
python爬虫之feapder.AirSpider轻量爬虫案例：豆瓣

python爬虫之feapder.AirSpider轻量爬虫案例：豆瓣

创建feaderSpider项目&#xff1a;feapder create -p feapderSpider&#xff0c;已创建可忽略进入feapderSpider目录&#xff1a;cd .\ feapderSpider\spiders创建爬虫&#xff1a;feapder create -s airSpiderDouban&#xff0c;选择AirSpider爬虫模板&#xff0c;可跳过1、2直…
阅读更多...
KMS在腾讯云的微服务实践助力其降本50%

KMS在腾讯云的微服务实践助力其降本50%

背景介绍 KMS 是一家日本的游戏公司&#xff0c;主要经营游戏业务、数字漫画业务、广告业务、云解决方案业务等&#xff0c;出品了多款在日本畅销的漫画风游戏&#xff0c;同时有网络漫画专业厂牌&#xff0c;以内容创作为目标&#xff0c;拥有原创 IP 创作、游戏开发等多元化发…
阅读更多...
bitlocker 加密锁定的固态硬盘，更换到别的电脑上，怎么把原密钥写进新电脑TPM芯片内，开启无需手动填密钥

bitlocker 加密锁定的固态硬盘，更换到别的电脑上，怎么把原密钥写进新电脑TPM芯片内，开启无需手动填密钥

环境： Win11 专业版 联想E14笔记本 512G ssd 问题描述： 一台笔记本因充电故障，需要拿去维修，不想重装系统，将bitlocker 加密锁定的固态硬盘拆下更换到别的笔记本电脑上，现在开机要手动填密钥，怎么把原密钥写进新电脑TPM芯片内，开启无需手动填密钥和之前那台电脑一…
阅读更多...
DevOps与CI/CD的最佳实践

DevOps与CI/CD的最佳实践

在当今的软件开发领域&#xff0c;DevOps&#xff08;开发与运维的结合&#xff09;和CI/CD&#xff08;持续集成/持续交付&#xff09;已经成为了不可或缺的一部分。它们不仅提高了软件开发的效率&#xff0c;还帮助团队更快地交付高质量的软件。本文将深入探讨DevOps文化和CI…
阅读更多...
iOS Xcode15 适配：Other Linker Flags：-ld_classic

iOS Xcode15 适配：Other Linker Flags：-ld_classic

0x00 适配是一条没有尽头的路 Xcode 14 毛问题都没有&#xff0c;Xcode 15 崩溃 看图说话 0x01 解决方案 Other Linker Flags 添加 -ld_classic 即可 0x02 我的小作品 欢迎体验我的作品之一&#xff1a;小挑战-XGame 拼图游戏&#xff0c;渐变色游戏&#xff0c;经典24点游…
阅读更多...
List 3.5 详解原码、反码、补码

List 3.5 详解原码、反码、补码

前言 欢迎来到我的博客&#xff0c;我是雨空集&#xff08;全网同名&#xff09;&#xff0c;无论你是无意中发现我&#xff0c;还是有意搜索而来&#xff0c;我都感到荣幸。这里是一个分享知识、交流想法的平台&#xff0c;我希望我的博客能给你带来帮助和启发。如果你喜欢我…
阅读更多...
Ubuntu ARMv8编译Qt源码以及QtCreator

Ubuntu ARMv8编译Qt源码以及QtCreator

最近需要在NVIDIA小盒子上面跑一个程序&#xff0c;一开始想着在Ubuntu x64下交叉编译一版&#xff0c;后来发现libqxcb.so 这个库在configure时就会一直报错&#xff0c;多方查找怀疑可能是由于硬件不支持在x64环境下编译AMR架构的xcb库。 所以最后在ARM下直接编译Qt源码了&am…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023