SSO即單一登錄，是一種控制多個相關但彼此獨立的系統的存取權限, 擁有此權限的使用者可以使用單一的ID和密碼存取某個或多個系統從而避免使用不同的使用者名稱或密碼，或透過某種配置無縫地登入每個系統。
對於大型系統來說使用單一登入可以減少使用者很多的麻煩。就拿百度來說吧，百度下面有很多的子系統——百度經驗、百度知道、百度文庫等等，如果我們使用這些系統的時候，每一個系統都需要我們輸入用戶名和密碼登入一次的話，我相信使用者體驗一定會直線下降。
與 SSO 互動的2個元素：1. 用戶，2. 系統，它的特點是：一次登錄，全部訪問。 SSO 是存取控制的一種，控制使用者能否登錄，即驗證使用者身份，而且是所有其它系統的身份驗證都在它這裡進行，從整個系統層面來看SSO ，它的核心就是這3個元素了：1. 用戶，2. 系統，3. 驗證中心。
假如我們的網站是按照下面的網域進行部署的：
sub1.onmpw.com
sub2.onmpw.com
這兩個網站共用相同網域onmpw.com 。
預設情況下，瀏覽器會傳送 cookie 所屬的網域對應的主機。也就是說，來自於 sub1.onmpw.com 的 cookie 預設所屬的網域是 .sub1.onmpw.com 。因此，sub2.onmpw.com 不會得到任何的屬於 sub1.onmpw.com 的 cookie 資訊。因為它們是在不同的主機上面，而二者的子域也是不同的。
登入sub1.onmpw.com 系統
登入成功以後，產生唯一識別碼Token（知道token，就知道哪個使用者登入了）。設定 cookie 信息，這裡需要注意，將Token存到 cookie 中，但是在設定的時候必須將這 cookie 的所屬域設定為頂級域 .onmpw.com 。這裡可以使用 setcookie 函數，該函數的第四個參數是用來設定 cookie 所述域的。
setcookie(‘token’, ’xxx’, '/', ’.onmpw.com’);
訪問sub2.onmpw.com 系統，瀏覽器會將cookie 中的信息token 附帶在請求中一塊兒發送到sub2.onmpw.com 系統。這時該系統會先檢查 session 是否登錄，如果沒有登入則驗證 cookie 中的 token 從而實現自動登入。
sub2.onmpw.com 登入成功以後再寫 session 訊息。以後的驗證就用自己的 session 資訊驗證就可以了。
這裡存在一個問題就是sub1 系統退出以後，除了可以清除自身的session 資訊和所屬域為.onmpw.com 的cookie 的訊息。它並不能清除 sub2 系統的 session 資訊。那 sub2 仍然是登入狀態。也就是說，這種方式雖說可以實現單一登錄，但是不能實現同時退出。原因是，sub1 和sub2 雖說透過setcookie 函數的設定可以共用cookie，但是二者的sessionId 是不同的，而且這個sessionId 在瀏覽器中也是以cookie 的形式儲存的，不過它所屬的網域並不是.onmpw. com 。
那要如何解決這個問題呢？我們知道，對於這種情況，只要是兩個系統的 sessionId 相同就可以解決這個問題了。也就是說存放 sessionId 的 cookie 所屬的網域也是 .onmpw.com 。在PHP中，sessionId 是在 session_start() 呼叫以後產生的。要使sub1 和sub2 有共同的sessionId ，那必須在session_start() 之前設定sessionId 所屬域：
ini_set('session.cookie_path', '/'); ini_set('session.cookie_domain', '.onmpw.com'); ini_set('session.cookie_lifetime', '0');
1、經過上面的步驟就可以實現不同二級域名的單點登錄與退出。
2、不過還可以簡化，如確保 sessionId 相同就可以實現不同二級網域的單一登入與登出。
參考文章： https://www.onmpw.com/tm/xwzj/network_145.html
假設我們需要在以下這些站之間實作單一登入
www.onmpw1.com
www.onmpw2.com
www.onmpw3.com
上面的方案就不行了。
目前github 上有開源的SSO 解決方案，實作原理與主流SSO 差不多：
https://github.com/jasny/sso
wiki
demo
核心原理：
1、客戶端存取不同的子系統，子系統對應的SSO 使用者服務中心使用相同的SessionId。
2、子系統 Broker 與 Server 間透過 attach 進行了授權連結綁定
同根域名不指定 domain 根域名，第一次授权需要每次都要跳转到授权服务，但是指定了domain, 同根域名只要有一个授权成功，都可以共用那个 cookie 了，下次就不用再授权了，直接就可以请求用户信息了。
第一次访问A： 
第二次访问B： 
用户到认证中心登录后，用户和认证中心之间建立起了会话，我们把这个会话称为全局会话。当用户后续访问系统应用时，我们不可能每次应用请求都到认证中心去判定是否登录，这样效率非常低下，这也是单Web应用不需要考虑的。
我们可以在系统应用和用户浏览器之间建立起局部会话，局部会话保持了客户端与该系统应用的登录状态，局部会话依附于全局会话存在，全局会话消失，局部会话必须消失。
用户访问应用时，首先判断局部会话是否存在，如存在，即认为是登录状态，无需再到认证中心去判断。如不存在，就重定向到认证中心判断全局会话是否存在，如存在，通知该应用，该应用与客户端就建立起它们之间局部会话，下次请求该应用，就不去认证中心验证了。
用户在一个系统退出了，访问其它子系统，也应该是退出状态。要想做到这一点，应用除结束本地局部会话外，还应该通知认证中心该用户退出。
认证中心接到退出通知，即可结束全局会话，用户访问其它应用时，都显示已登出状态。
需不需要立即通知所有已建立局部会话的子系统，将它们的局部会话销毁，可根据实际项目来。
SSO（ Single Sign On ），即单点登录，是一种控制多个相关但彼此独立的系统的访问权限, 拥有这一权限的用户可以使用单一的ID和密码访问某个或多个系统从而避免使用不同的用户名或密码，或者通过某种配置无缝地登录每个系统 。
对于大型系统来说使用单点登录可以减少用户很多的麻烦。就拿百度来说吧，百度下面有很多的子系统——百度经验、百度知道、百度文库等等，如果我们使用这些系统的时候，每一个系统都需要我们输入用户名和密码登录一次的话，我相信用户体验肯定会直线下降。
与 SSO 交互的2个元素：1. 用户，2. 系统，它的特点是：一次登录，全部访问。SSO 是访问控制的一种，控制用户能否登录，即验证用户身份，而且是所有其它系统的身份验证都在它这里进行，从整个系统层面来看 SSO ，它的核心就是这3个元素了：1. 用户，2. 系统，3. 验证中心。
假如我们的站点是按照下面的域名进行部署的：
sub1.onmpw.com
sub2.onmpw.com
这两个站点共享同一域 onmpw.com 。
默认情况下，浏览器会发送 cookie 所属的域对应的主机。也就是说，来自于 sub1.onmpw.com 的 cookie 默认所属的域是 .sub1.onmpw.com 。因此，sub2.onmpw.com 不会得到任何的属于 sub1.onmpw.com 的 cookie 信息。因为它们是在不同的主机上面，并且二者的子域也是不同的。
登录 sub1.onmpw.com 系统
登录成功以后，生成唯一标识符Token（知道token，就知道哪个用户登录了）。设置 cookie 信息，这里需要注意，将Token存到 cookie 中，但是在设置的时候必须将这 cookie 的所属域设置为顶级域 .onmpw.com 。这里可以使用 setcookie 函数，该函数的第四个参数是用来设置 cookie 所述域的。
setcookie(‘token’, ’xxx’, '/', ’.onmpw.com’);
访问 sub2.onmpw.com 系统，浏览器会将 cookie 中的信息 token 附带在请求中一块儿发送到 sub2.onmpw.com 系统。这时该系统会先检查 session 是否登录，如果没有登录则验证 cookie 中的 token 从而实现自动登录。
sub2.onmpw.com 登录成功以后再写 session 信息。以后的验证就用自己的 session 信息验证就可以了。
这里存在一个问题就是 sub1 系统退出以后，除了可以清除自身的 session 信息和所属域为 .onmpw.com 的 cookie 的信息。它并不能清除 sub2 系统的 session 信息。那 sub2 仍然是登录状态。也就是说，这种方式虽说可以实现单点登录，但是不能实现同时退出。原因是，sub1 和 sub2 虽说通过 setcookie 函数的设置可以共享 cookie，但是二者的sessionId 是不同的，而且这个 sessionId 在浏览器中也是以 cookie 的形式存储的，不过它所属的域并不是 .onmpw.com 。
那如何解决这个问题呢？我们知道，对于这种情况，只要是两个系统的 sessionId 相同就可以解决这个问题了。也就是说存放 sessionId 的 cookie 所属的域也是 .onmpw.com 。在PHP中，sessionId 是在 session_start() 调用以后生成的。要想使sub1 和 sub2 有共同的 sessionId ，那必须在 session_start() 之前设置 sessionId 所属域：
ini_set('session.cookie_path', '/'); ini_set('session.cookie_domain', '.onmpw.com'); ini_set('session.cookie_lifetime', '0');
1、经过上面的步骤就可以实现不同二级域名的单点登录与退出。
2、不过还可以再简化，如确保 sessionId 相同就可以实现不同二级域名的单点登录与退出。
参考文章： https://www.onmpw.com/tm/xwzj/network_145.html
假设我们需要在以下这些站之间实现单点登录
www.onmpw1.com
www.onmpw2.com
www.onmpw3.com
上面的方案就行不通了。
目前 github 上有开源的 SSO 解决方案，实现原理与主流 SSO 差不多：
https://github.com/jasny/sso
wiki
demo
核心原理：
1、客户端访问不同的子系统，子系统对应的 SSO 用户服务中心使用相同的 SessionId。
2、子系统 Broker 与 Server 间通过 attach 进行了授权链接绑定
同根域名不指定 domain 根域名，第一次授权需要每次都要跳转到授权服务，但是指定了domain, 同根域名只要有一个授权成功，都可以共用那个 cookie 了，下次就不用再授权了，直接就可以请求用户信息了。
第一次访问A：
第二次访问B：
用户到认证中心登录后，用户和认证中心之间建立起了会话，我们把这个会话称为全局会话。当用户后续访问系统应用时，我们不可能每次应用请求都到认证中心去判定是否登录，这样效率非常低下，这也是单Web应用不需要考虑的。
我们可以在系统应用和用户浏览器之间建立起局部会话，局部会话保持了客户端与该系统应用的登录状态，局部会话依附于全局会话存在，全局会话消失，局部会话必须消失。
用户访问应用时，首先判断局部会话是否存在，如存在，即认为是登录状态，无需再到认证中心去判断。如不存在，就重定向到认证中心判断全局会话是否存在，如存在，通知该应用，该应用与客户端就建立起它们之间局部会话，下次请求该应用，就不去认证中心验证了。
用户在一个系统退出了，访问其它子系统，也应该是退出状态。要想做到这一点，应用除结束本地局部会话外，还应该通知认证中心该用户退出。
认证中心接到退出通知，即可结束全局会话，用户访问其它应用时，都显示已登出状态。
需不需要立即通知所有已建立局部会话的子系统，将它们的局部会话销毁，可根据实际项目来。
相关推荐：
以上是PHP單一登入SSO實作方法的詳細內容。更多資訊請關注PHP中文網其他相關文章！
