PHP版シングルサインイン導入ソリューション-PHPチュートリアル-php.cn

この記事では主に PHP バージョンのシングルサインイン実装ソリューションの例を紹介します。必要に応じて詳細を学ぶことができます。

要約:

この記事では主に、Webサービス、セッション、Cookieテクノロジーを使用したユニバーサルシングルサインオンシステムの分析と設計について紹介します。具体的な実装言語は PHP です。シングルサインオンは、英語ではシングルサインオン (略して SSO) とも呼ばれ、現在の企業やネットワークビジネスにおけるユーザーの包括的な処理の重要な部分です。 SSO の定義は、複数のアプリケーションシステムにおいて、ユーザーは一度ログインするだけで、相互に信頼されているすべてのアプリケーションシステムにアクセスできることです。

動機:

ucenter のフルサイトログイン方法を使用したことがある友人は、これが典型的なオブザーバーパターンソリューションであることを知っているはずです。ユーザーセンターがサブジェクトとなり、そのオブザーバーの登録と削除はucenterのバックエンドで一元化されます。各サブアプリケーションサイトはオブザーバーに対応します。ユーザーセンターでのすべてのログインアクションは、js スクリプトをトリガーして、w3c 標準サブサイトログインインターフェイス (api/uc.php) をコールバックします。

この方法の欠点は主に次の 2 点だと思います: 1. サブサイトが多すぎると、それに応じてコールバックインターフェイスが増加します。これは、分散サブサイトの数によって制限されます。ログイン効率が低くなりすぎないようにするには？ 2. 特定のサブステーションのコールバックインターフェイスに問題がある場合、デフォルトのログインプロセスが停止します（ログインプログラムの実行時間が制限される可能性があります）。ただし、対応する変電所の背後にある変電所のコールバックインターフェイスは調整できません

上記の問題に基づいて、実際の開発プロセス中に、別のシングルサインオンシステムを設計しました

技術的な実装シングルサインオンの仕組み: ユーザーがアプリケーションシステムに初めてアクセスするとき 1. この時点では、まだログインしていないため、提供されたログイン情報に基づいてログインするための認証システムが表示されます。ユーザーによって、認証システムは本人確認を実行し、検証に合格した場合、ユーザーに認証資格情報チケットを返します。他のアプリケーションを使用する場合、このチケットは独自の資格情報として使用されます。認証リクエストを受信した後、アプリケーションシステムは検証のためにチケットを認証システムに送信します。チケットの有効性が検証に合格した場合、ユーザーは再度ログインすることなくアプリケーションシステム 2 とアプリケーションシステム 3 にアクセスできます。

SSO を実装するには、次の主な機能が必要であることがわかります:

a) すべてのアプリケーションシステムは ID 認証システムを共有します。

b) すべてのアプリケーションシステムはチケット情報を識別して抽出できます。 ) アプリケーションシステムは、ログインしているユーザーを識別し、現在のユーザーがログインしているかどうかを自動的に判断することができ、それによってシングルサインイン機能を完了します

上記の基本原則に基づいて、私はシングルサインインのためにPHP言語Aプログラムを使用しますサインオンシステムが設計され、運用が開始され、正式にサーバーが生成されました。このシステムプログラムは、システム全体の固有のセッション ID を持つチケット情報を媒体として使用して、現在のオンラインユーザーのサイト全体の情報 (ログインステータス情報や処理が必要なユーザー全体のサイト情報) を取得します。

2. プロセスの説明:

ログインプロセス:

1. 初めてサイトにログインします:

a) ユーザーはユーザー名とパスワードを入力し、ユーザー認証センターにログイン要求を送信します。

b) 現在のログインサイトでは、Web サービスリクエストを通じて、ユーザー検証センターがユーザー名とパスワードの正当性を検証します。検証に合格すると、現在のセッションのユーザーを識別するためのチケットが生成され、現在ログインしているサブサイトのサイト識別子がユーザーセンターに記録されます。最後に、

c) は取得したユーザーデータを返します。サブサイトへのチケット。検証が失敗した場合は、対応するエラーステータスコードが返されます。

d) 前のステップの Web サービスリクエストによって返された結果に従って、現在のサブサイトはユーザーにログインします。ステータスコードが成功を示す場合、現在のサイトはこのサイトの Cookie を介してチケットを保存し、記録します。ユーザーのログインステータス。ステータスコードが失敗を示している場合、ユーザーには対応するログイン失敗プロンプトが表示されます。

2. ログインすると、ユーザーは別のページに移動します:

a) サイトの Cookie またはセッションを通じてユーザーのログインステータスを確認します。検証に合格した場合は、通常のサイト処理プログラムに入ります。そうでない場合は、ユーザーセンターが検証します。ユーザーのログイン状態 (チケットをユーザー認証センターに送信します)。認証に合格した場合は、返されたユーザー情報に対してローカルログイン処理が実行されます。そうでない場合は、ユーザーがログインしていないことを意味します。

ログアウトプロセス

a) 現在のログアウトにより、サイトのユーザーのログインステータスと、ローカルに保存されたサイト全体のユーザーの一意のランダム ID がクリアされます

b) Web サービスインターフェイスを通じて、サイト全体の一意のランダム ID がクリアされますサイト全体のランダムIDによって記録されたサイト。 Web サービスインターフェイスが戻り、ログインしている他のサブサイトの JavaScript コードをログアウトし、このサイトがこのコードを出力します。 c) js コードは、対応するサイトの W3C 標準ログアウトスクリプトにアクセスします

3. コードの説明:

この記事に関連するコードはパッケージ化され、アップロードされています。興味がある場合は、クリックしてダウンロードできます。この記事の最後のダウンロードリンクにあります。

1. ログインプロセス: ブラウザを開いて、最初にログインしたサブサイトは UClientSSO::loginSSO() メソッドを呼び出す必要があります。このメソッドは、サイト全体に一意でユーザーの識別に使用されるランダム ID を返します。このランダム ID は、UClientSSO::loginSSO() 内のこの Web サイトの Cookie を通じて保存されています。つまり、サブサイトは、この Web サイトでのユーザーのログイン ID のスタブを保持します。

a) UClientSSO::loginSSO() メソッドは次のとおりです:

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

<?php
/**
 * 用户验证中心 登陆用户处理
 *
 * @param string $username   - 用户名
 * @param string $password   - 用户原始密码
 * @param boolean $remember   - 是否永久记住登陆账号
 * @param boolean $alreadyEnc  - 传入的密码是否已经经过simpleEncPass加密过
 *
 * @return array  - integer $return[&#39;status&#39;] 大于 0:返回用户 ID，表示用户登录成功
 *                        -1:用户不存在，或者被删除
 *                        -2:密码错
 *                                                 -11：验证码错误
 *                     string $return[&#39;username&#39;]   : 用户名
 *                     string $return[&#39;password&#39;]   : 密码
 *                     string $return[&#39;email&#39;]    : Email
 */
 
static public function loginSSO($username, $password, $remember=false, $alreadyEnc=false) {
self::_init();
self::_removeLocalSid();
$ret = array();
 
//
//1. 处理传入webservice接口的参数
//
$_params = array(
        &#39;username&#39; => $username,
        &#39;password&#39; => $alreadyEnc ? trim($password) : self::simpleEncPass(trim($password)),
        &#39;ip&#39;    => self::onlineip(),
        &#39;siteFlag&#39; => self::$site,
        &#39;remember&#39; => $remember
);
$_params[&#39;checksum&#39;] = self::_getCheckSum($_params[&#39;username&#39;] . $_params[&#39;password&#39;] .
$_params[&#39;ip&#39;] . $_params[&#39;siteFlag&#39;] . $_params[&#39;remember&#39;]);
 
//
// 2.调用webservice接口，进行登陆处理
//
$aRet = self::_callSoap(&#39;loginUCenter&#39;, $_params);
 
if (intval($aRet[&#39;resultFlag&#39;]) > 0 && $aRet[&#39;sessID&#39;]) {
//成功登陆
//设置本地session id
self::_setLocalSid($aRet[&#39;sessID&#39;]);
 
//设置用户中心的统一session id脚本路径
self::$_synloginScript = urldecode($aRet[&#39;script&#39;]);
 
$ret = $aRet[&#39;userinfo&#39;];
} else {
 
$ret[&#39;status&#39;] = $aRet[&#39;resultFlag&#39;];
}
 
return $ret;
}//end of function         
 
//b) 用户验证中心的webservice服务程序，接收到登陆验证请求后，调用UCenter::loginUCenter()方法来处理登陆请求。
/**
* 用户验证中心 登陆用户处理
*
* @param string $username
* @param string $password
* @param string $ip
* @param string $checksum
* @return array
*/
static public function loginUCenter($username, $password, $ip, $siteFlag, $remember=false) {
self::_init();
session_start();
$ret = array();
$arr_login_res   = login_user($username, $password, $ip);
$res_login     = $arr_login_res[&#39;status&#39;];        //
$ret[&#39;resultFlag&#39;] = $res_login;
 
if ($res_login < 1) {
//登陆失败
} else {
 
//登陆成功
$_SESSION[self::$_ucSessKey] = $arr_login_res;
 
$_SESSION[self::$_ucSessKey][&#39;salt&#39;] =
self::_getUserPassSalt($_SESSION[self::$_ucSessKey][&#39;username&#39;], $_SESSION[self::$_ucSessKey][&#39;password&#39;]);
 
$ret[&#39;userinfo&#39;] = $_SESSION[self::$_ucSessKey];
$ret[&#39;sessID&#39;]  = session_id();    //生成全站的唯一session id，作为ticket全站通行
 
//
//合作中心站回调登陆接口(设置用户中心的统一session id)
//
self::_createCoSitesInfo();
$uinfo = array();
$_timestamp = time();
$_rawCode = array(
            &#39;action&#39; => &#39;setSid&#39;,
            &#39;sid&#39;  => $ret[&#39;sessID&#39;],
            &#39;time&#39;  => $_timestamp,
);
if ($remember) {
$uinfo = array(
                &#39;remember&#39; => 1,
                &#39;username&#39; => $username,
                &#39;password&#39; => $password
);
}
 
$ret[&#39;script&#39;] = &#39;&#39;;
$_rawStr = http_build_query(array_merge($_rawCode, $uinfo));
 
//
// 合作站点的全域cookie设置脚本地址
//
foreach ((array)self::$_coSitesInfo as $_siteInfo) {
$_code = self::authcode($_rawStr, &#39;ENCODE&#39;, $_siteInfo[&#39;key&#39;]);
$_src = $_siteInfo[&#39;url&#39;] . &#39;?code=&#39; . $_code . &#39;&time=&#39; . $_timestamp;
$ret[&#39;script&#39;] .= urlencode(&#39;&#39;);
}
 
//
// 记住已登陆战
//
self::registerLoggedSite($siteFlag, $ret[&#39;sessID&#39;]);
 
unset($ret[&#39;userinfo&#39;][&#39;salt&#39;]);
}
 
return $ret;
}
 
?>

ログイン後にコピー

2. 本站登陆成功后，进行本地化的用户登陆处理，其后验证用户是否登陆只在本地验证。（本地存取登陆用户状态的信息，请设置为关闭浏览器就退出）

3. 当检测用户登陆状态时，请先调用本地的验证处理，若本地验证不通过，再调用UClientSSO::checkUserLogin()方法到用户中心检测用户的登陆状态。

a) UClientSSO::checkUserLogin()方法如下：

<?php
/**
* 用户单点登陆验证函数
*
* @return array  - integer $return[&#39;status&#39;] 大于 0:返回用户 ID，表示用户登录成功
*                                                  0:用户没有在全站登陆
*                        -1:用户不存在，或者被删除
*                        -2:密码错
*                        -3:未进行过单点登陆处理
*                                                 -11：验证码错误
*                     string $return[&#39;username&#39;]   : 用户名
*                     string $return[&#39;password&#39;]   : 密码
*                     string $return[&#39;email&#39;]    : Email
*/
public static function checkUserLogin(){
self::_init();
$ret = array();
$_sessId = self::_getLocalSid();
if (empty($_sessId)) {
//永久记住账号处理
if(isset($_COOKIE[_UC_USER_COOKIE_NAME]) && !empty($_COOKIE[_UC_USER_COOKIE_NAME])) {
 
//
// 根据cookie里的用户名和密码判断用户是否已经登陆。
//
$_userinfo = explode(&#39;|g|&#39;, self::authcode($_COOKIE[_UC_USER_COOKIE_NAME], &#39;DECODE&#39;, self::$_authcodeKey));
 
$username = $_userinfo[0];
$password = isset($_userinfo[1]) ? $_userinfo[1] : &#39;&#39;;
if (empty($password)) {
$ret[&#39;status&#39;] = -3;
} else {
return self::loginSSO($username, $password, true, true);
}
 
} else {
$ret[&#39;status&#39;] = -3;
}
 
} else {
//
//本站原先已经登陆过，通过保留的sesson id存根去用户中心验证
//
$_params = array(
            &#39;sessId&#39;  => $_sessId,
            &#39;siteFlag&#39; => self::$site,
            &#39;checksum&#39; => md5($_sessId . self::$site . self::$_mcComunicationKey)
);
$aRet = self::_callSoap(&#39;getOnlineUser&#39;, $_params);
if (intval($aRet[&#39;resultFlag&#39;]) > 0) {
//成功登陆
$ret = $aRet[&#39;userinfo&#39;];
} else {
$ret[&#39;status&#39;] = $aRet[&#39;resultFlag&#39;];
}
}
 
return $ret;
}       
 
b) 用户验证中心的webservice服务程序，接收到检验登陆的请求后，调用UCenter::getOnlineUser()方法来处理登陆请求：
[php]/**
* 根据sid，获取当前登陆的用户信息
*
* @param string $sessId    - 全站唯一session id，用做ticket
* @return array
*/
/**
* 根据sid，获取当前登陆的用户信息
*
* @param string $sessId    - 全站唯一session id，用做ticket
* @return array
*/
static public function getOnlineUser($sessId, $siteFlag) {
self::_init();
session_id(trim($sessId));
session_start();
 
$ret = array();
$_userinfo = $_SESSION[self::$_ucSessKey];
 
if (isset($_userinfo[&#39;username&#39;]) && isset($_userinfo[&#39;password&#39;]) &&
self::_getUserPassSalt($_userinfo[&#39;username&#39;], $_userinfo[&#39;password&#39;])) {
$ret[&#39;resultFlag&#39;] = "1";
$ret[&#39;userinfo&#39;] = $_userinfo;
 
self::registerLoggedSite($siteFlag, $sessId);        //记住已登陆战
unset($ret[&#39;userinfo&#39;][&#39;salt&#39;]);
} else {
$ret[&#39;resultFlag&#39;] = "0";
}
 
return ($ret);
}
?>

ログイン後にコピー

4. 单点登出时，调用UClientSSO::logoutSSO()方法。调用成功后，如需其他已登陆站立即登出，请调用 UClientSSO::getSynloginScript()方法获取W3C标准的script，在页面输出。

a) UClientSSO::logoutSSO()方法如下：

<?php
/**
* 全站单点登出
* - 通过webservice请求注销掉用户的全站唯一标识
*
* @return integer  1: 成功
*                   -11：验证码错误
*/
public static function logoutSSO(){
    self::_init();
    $_sessId = self::_getLocalSid();
    //
    //本站没有登陆的话，不让同步登出其他站
    //
    if (empty($_sessId)) {
        self::_initSess(true);
        return false;
    }
    $_params = array(
        &#39;sessId&#39;  => $_sessId,
        &#39;siteFlag&#39; => self::$site,
        &#39;checksum&#39; => md5($_sessId . self::$site . self::$_mcComunicationKey)
    );
    $aRet = self::_callSoap(&#39;logoutUCenter&#39;, $_params);
    if (intval($aRet[&#39;resultFlag&#39;]) > 0) {
        //成功登出
        self::_removeLocalSid();        //移除本站记录的sid存根
        self::$_synlogoutScript = urldecode($aRet[&#39;script&#39;]);
        $ret = 1;
    } else {
        $ret = $aRet[&#39;resultFlag&#39;];
    }
    return intval($ret);
}          [/php]
    b) 用户验证中心的webservice服务程序，接收到全站登出请求后，调用UCenter::loginUCenter()方法来处理登陆请求：
/**
* 登出全站处理
*
* @param string - 全站唯一session id，用做ticket
* @return boolean
*/
static public function logoutUCenter($sessId) {
    self::_init();
    session_id(trim($sessId));
    session_start();
    $_SESSION = array();
    return empty($_SESSION) ? true : false;
}
?>

ログイン後にコピー

四. 代码部署：

1. 用户验证中心设置

a) 用户验证中心向分站提供的webservice服务接口文件，即UserSvc.php部署在hostname/webapps/port/ UserSvc.php中。查看wsdl内容，请访问https://hostname/port/ UserSvc.php?wsdl

b) 用户中心用户单点服务类文件为UCenterSSO.class.php，文件路径为在hostname/webapps/include /UCenterSSO.class.php。该文件为用户单点登陆处理的服务端类，被hostname/webapps/port/ UserSvc.php调用。用于获取用户的登陆信息，是否单点登陆的状态信息，单点登出处理等。

c) 用户验证中心通过W3C标准，利用cookie方式记录，删除全站统一的用户唯一随机id 的脚本文件为hostname/webapps/port/cookie_mgr.php.

2. 子站点设置

a) 各子站点请将，UClientSSO.class.php部署在用户中心服务客户端目录下。部署好后，请修改最后一行的UClientSSO::setSite('1'); 参数值为用户验证中心统一分配给各站的标识id.

b) 在部署的用户中心服务客户端包下的api目录下下，请将logout_sso.php脚本转移到此处，并编写进行本站登出的处理脚本。

c) 在子站点验证用户登陆状态的代码部分，额外增加到用户中心的单点登陆验证的处理。

即在首先通过本站验证用户的登陆状态，如果未通过验证，则去用户中心验证。验证操作要调用UClientSSO::checkUserLogin();接口，接口含义请查看代码注释。

d) 在分站的登出处理脚本中，通过UClientSSO::getSynlogoutScript();获取script串输出即可。

五. 扩展功能:

1. 记录跟踪所有在线用户

因为所有用户的登录都要经过用户验证中心，所有用户的ticket都在验证中心生成，可以将用户和该ticket(session id)在内存表中建立一个映射表。得到所有在线用户的记录表。

后期如有必要跟踪用户状态来实现其他功能，只要跟踪这个映射表就可以了。其他功能可以为: 获取在线用户列表，判断用户在线状态，获取在线用户人数等。

2. 特殊统计处理

因为整个系统登录登出要经过用户验证中心，所以可以针对用户的特殊统计进行处理。如用户每天的登录次数，登陆时间，登陆状态失效时间，各时段的在线用户人数走势等。

六. 其他事项：

1. 本站登陆状态有效时间问题：

全站要求用户登陆状态在关闭浏览器时就失效。要求各分站对session或cookie的处理方式按照如下进行：

a) Session方式记录用户登陆状态的站点

请在站点公用脚本开始处，添加一下代码

<?php
session_write_close();
ini_set(&#39;session.auto_start&#39;, 0);          //关闭session自动启动
ini_set(&#39;session.cookie_lifetime&#39;, 0);      //设置session在浏览器关闭时失效
ini_set(&#39;session.gc_maxlifetime&#39;, 3600); //session在浏览器未关闭时的持续存活时间   
?>

ログイン後にコピー

b) cookie方式记录用户登陆状态的站点

请在设置用户登陆状态的cookie时，设置cookie有效时间为null.

原文链接：http://www.cnblogs.com/linzhenjie/archive/2012/08/24/2653585.html

以上就是本文的全部内容，希望对大家的学习有所帮助。