有关单点登录(SSO)之前有写过两篇文章
如果说XXL-JOB你可能并不陌生,它是非常火爆的一个分布式任务调度平台。但其实在该作者还有一个非常优秀的开源项目叫XXL-SSO,这两个个项目都是1000+Star。
XXL-SSO 是一个分布式单点登录框架。只需要登录一次就可以访问所有相互信任的应用系统。 拥有"轻量级、分布式、跨域、Cookie+Token均支持、Web+APP均支持"等特性。现已开放源代码，开箱即用。 这里主要是通过对XXL-SSO源码的分析，将理论和实践结合！
一、快速接入sso
1、xxl-sso特性
- 简洁：API直观简洁，可快速上手
- 轻量级：环境依赖小，部署与接入成本较低
- 单点登录：只需要登录一次就可以访问所有相互信任的应用系统
- 分布式：接入SSO认证中心的应用，支持分布式部署
- HA：Server端与Client端，均支持集群部署，提高系统可用性
- 跨域：支持跨域应用接入SSO认证中心
- Cookie+Token均支持：支持基于Cookie和基于Token两种接入方式，并均提供Sample项目
- Web+APP均支持：支持Web和APP接入
- 实时性：系统登陆、注销状态，全部Server与Client端实时共享
- CS结构：基于CS结构，包括Server"认证中心"与Client"受保护应用"
- 记住密码：未记住密码时，关闭浏览器则登录态失效；记住密码时，支持登录态自动延期，在自定义延期时间的基础上，原则上可以无限延期
- 路径排除：支持自定义多个排除路径，支持Ant表达式,用于排除SSO客户端不需要过滤的路径
2、环境
- JDK：1.7+
- Redis：4.0+
3、 源码地址
4、 项目结构说明
- xxl-sso-server：中央认证服务，支持集群 - xxl-sso-core：Client端依赖 - xxl-sso-samples：单点登陆Client端接入示例项目 - xxl-sso-web-sample-springboot：基于Cookie接入方式，供用户浏览器访问，springboot版本 - xxl-sso-token-sample-springboot：基于Token接入方式，常用于无法使用Cookie的场景使用，如APP、Cookie被禁 5、 架构图
应用系统：sso-web系统(8081端口)、sso-web系统(8082端口)（需要登录的系统）
SSO客户端：登录、退出（独立jar包给应用系统引用)
SSO服务端：登录（登录服务）、登录状态（提供登录状态校验/登录信息查询的服务）、退出（用户注销服务）
数据库：存储用户账户信息(一般使用Mysql,在当前项目中为了简便并没有查询数据库)
缓存：存储用户的登录信息(使用Redis)
二、快速接入XXL-SSO框架
1、 部署认证中心(sso-server)
只需要修改配置文件即可,配置文件位置：application.properties
## 配置redis xxl.sso.redis.address=redis://118.31.224.65:6379 ## 登录态有效期窗口，默认24H，当登录态有效期窗口过半时，自动顺延一个周期 xxl.sso.redis.expire.minute=1440 2、 部署'单点登陆Client端接入示例项目'
这里指需要接入SSO的系统，在当前项目有xxl-sso-web-sample-springboot和 xxl-sso-token-sample-springboot两个示例项目，这里暂且以sso-web为示例。
1）、maven依赖
<dependency> <groupId>com.xuxueli</groupId> <artifactId>xxl-sso-core</artifactId> <version>${最新稳定版}</version> </dependency> 2）配置 XxlSsoFilter
参考代码：com.xxl.sso.sample.config.XxlSsoConfig
@Bean public FilterRegistrationBean xxlSsoFilterRegistration() { // xxl-sso, redis init JedisUtil.init(xxlSsoRedisAddress); // xxl-sso, filter init FilterRegistrationBean registration = new FilterRegistrationBean(); registration.setName("XxlSsoWebFilter"); registration.setOrder(1); registration.addUrlPatterns("/*"); registration.setFilter(new XxlSsoWebFilter()); registration.addInitParameter(Conf.SSO_SERVER, xxlSsoServer); registration.addInitParameter(Conf.SSO_LOGOUT_PATH, xxlSsoLogoutPath); return registration; } application.properties修改
## 中央认证服务地址 xxl.sso.server=http://ssoserver.com:8080/xxl-sso-server ## 退出接口 xxl.sso.logout.path=/logout ## 排除走sso的接口 xxl-sso.excluded.paths=/excludedUrl ## redis地址 xxl.sso.redis.address=redis://118.11.214.65:6379
三、快速验证
1、修改host文件
修改Host文件：域名方式访问认证中心，模拟跨域与线上真实环境
127.0.0.1 ssoserver.com 127.0.0.1 webb.com 127.0.0.1 weba.com 2、启动项目
分别运行 “xxl-sso-server” 与 “xxl-sso-web-sample-springboot”,为了验证单点登录，这里sso-web需求启动两次，只是一次是8081端口，一次是8082端口。
## 1、SSO认证中心地址： http://ssoserver.com:8080/xxl-sso-server ## 2、Client01应用地址： http://weba.com:8081/xxl-sso-web-sample-springboot/ ## 3、Client02应用地址： http://webb.com:8082/xxl-sso-web-sample-springboot/ 3、验证
SSO登录流程
正常情况下，登录流程如下：
1、访问 "Client01应用地址" ，将会自动 redirect 到 "SSO认证中心地址" 登录界面
2、成功登录后，将会自动 redirect 返回到 "Client01应用地址"，并切换为已登录状态
3、此时，访问 "Client02应用地址"，不需登陆将会自动切换为已登录状态
很明显Client01登录成功后,Client02无需再重新登录就可以访问了。
SSO注销流程
正常情况下，注销流程如下：
1、访问 "Client01应用地址" 配置的 "注销登陆path"，将会自动 redirect 到 "SSO认证中心地址" 并自动注销登陆状态 2、此时，访问 "Client02应用地址"，也将会自动注销登陆状态
四、核心代码分析
1、SSO客户端(sso-core)拦截器
主要看sso拦截器流程就可以了
@Override public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { HttpServletRequest req = (HttpServletRequest) request; HttpServletResponse res = (HttpServletResponse) response; // 获取当前请求接口 String servletPath = req.getServletPath(); // 1、是否是排除 不走sso的接口 如果是直接放行 if (excludedPaths != null && excludedPaths.trim().length() > 0) { for (String excludedPath : excludedPaths.split(",")) { String uriPattern = excludedPath.trim(); // 支持ANT表达式 if (antPathMatcher.match(uriPattern, servletPath)) { // excluded path, allow chain.doFilter(request, response); return; } } } // 2、是否是退出登录接口 if (logoutPath != null && logoutPath.trim().length() > 0 && logoutPath.equals(servletPath)) { // 2.1删除当前请求客户端的cookie SsoWebLoginHelper.removeSessionIdByCookie(req, res); // 2.2重定向到sso认证服务的 退出接口 String logoutPageUrl = ssoServer.concat(Conf.SSO_LOGOUT); res.sendRedirect(logoutPageUrl); return; } // 3、校验用户(是否存在，是否过期) 这个方法下面在展开 XxlSsoUser xxlUser = SsoWebLoginHelper.loginCheck(req, res); // 4、令牌校验失败 if (xxlUser == null) { //获取当前请求地址 String link = req.getRequestURL().toString(); // 重定向到sso认证服务的 登录接口 String loginPageUrl = ssoServer.concat(Conf.SSO_LOGIN) + "?" + Conf.REDIRECT_URL + "=" + link; res.sendRedirect(loginPageUrl); return; } // ser sso user request.setAttribute(Conf.SSO_USER, xxlUser); // 已经登录 放行 chain.doFilter(request, response); return; } 在看下上面的loginCheck方法
/** * 令牌校验 * * @return 用户信息 */ public static XxlSsoUser loginCheck(HttpServletRequest request, HttpServletResponse response){ //去cookie去获取xxl_sso_sessionid 其实就是之前原理篇说的token，只是名称叫法不同 String cookieSessionId = CookieUtil.getValue(request, Conf.SSO_SESSIONID); // 这里去redis中获取用户信息 有可能获取不到。这个方法就不粘贴了 这里有三种情况 //1、cookieSessionId为空 那么直接返回null //2、cookieSessionId不为空，但在redis获取不到用户信息,因为存在其它系统退出后 redis删除了 //3、redis获取到了用户信息，但超过有效期了 依旧返回null XxlSsoUser xxlUser = SsoTokenLoginHelper.loginCheck(cookieSessionId); if (xxlUser != null) { return xxlUser; } // 如果获取不到 所以已经在其它系统退出登录了 那删除cookie中的xxl_sso_sessionid SsoWebLoginHelper.removeSessionIdByCookie(request, response); //如果是 sso登录成功后 回调过来的 这个时候在这里是可以获取到xxl_sso_sessionid的 String paramSessionId = request.getParameter(Conf.SSO_SESSIONID); xxlUser = SsoTokenLoginHelper.loginCheck(paramSessionId); if (xxlUser != null) { CookieUtil.set(response, Conf.SSO_SESSIONID, paramSessionId, false); / return xxlUser; } return null; } 2、认证服务器(sso-server)登录接口
/** * sso认证中心 登录接口 */ @RequestMapping(Conf.SSO_LOGIN) public String login(Model model, HttpServletRequest request, HttpServletResponse response) { // 同样的 该判断sso上有没有全局会话 XxlSsoUser xxlUser = SsoWebLoginHelper.loginCheck(request, response); //如果 其它系统登录成功过 这个就不回为null 直接再带上xxl_sso_sessionid=xxx 重定向到之前接口 //也不用在登录了 if (xxlUser != null) { // success redirect String redirectUrl = request.getParameter(Conf.REDIRECT_URL); if (redirectUrl!=null && redirectUrl.trim().length()>0) { String sessionId = SsoWebLoginHelper.getSessionIdByCookie(request); String redirectUrlFinal = redirectUrl + "?" + Conf.SSO_SESSIONID + "=" + sessionId;; return "redirect:" + redirectUrlFinal; } else { return "redirect:/"; } } //只有全局会话不存在 才会跳转登录页面 model.addAttribute("errorMsg", request.getParameter("errorMsg")); model.addAttribute(Conf.REDIRECT_URL, request.getParameter(Conf.REDIRECT_URL)); return "login"; } 3、认证服务器(sso-server)退出接口
@RequestMapping(Conf.SSO_LOGOUT) public String logout(HttpServletRequest request, HttpServletResponse response, RedirectAttributes redirectAttributes) { // 退出操作 SsoWebLoginHelper.logout(request, response); // 跳转到登录页 redirectAttributes.addAttribute(Conf.REDIRECT_URL, request.getParameter(Conf.REDIRECT_URL)); return "redirect:/login"; } 再来看下 logout 方法做了哪些事情
public static void logout(HttpServletRequest request, HttpServletResponse response) { String cookieSessionId = CookieUtil.getValue(request, Conf.SSO_SESSIONID); if (cookieSessionId==null) { return; } //1、删除全局缓存 redis中 清除cookieSessionId，这样其它系统在令牌校验的时候 会失败。即一处退出，处处退出。 String storeKey = SsoSessionIdHelper.parseStoreKey(cookieSessionId); if (storeKey != null) { SsoLoginStore.remove(storeKey); } //2、清除全局会话 CookieUtil.remove(request, response, Conf.SSO_SESSIONID); } 整个核心代码的逻辑都在这里了，其实结合上一篇的理论篇，理解起来就一点也不复杂了。
声明: 公众号如需转载该篇文章,发表文章的头部一定要 告知是转至公众号: 后端元宇宙。同时也可以问本人要markdown原稿和原图片。其它情况一律禁止转载！
![[TSDB] InfluxDB 概述：主要特点、架构、核心原理](http://www.itfaba.com/wp-content/themes/kemi/timthumb.php?src=http://www.itfaba.com/wp-content/uploads/2025/11/20251116_691a585e52b76.png&w=218&h=124&zc=1)
