1什么是单点登陆单点登录(Si ngle Sig n On),简称为SSO,是目前比较流行的企业业 务整合的解决方案之一SSO的定义是在多个应用系统中，用户只需要登录一 次就可以访问所有相互信任的应用系统较大的企业内部，一般都有很多的业务支持系统为其提供相应的管理和IT 服务例如财务系统为财务人员提供财务的管理、计算和报表服务；人事系统为 人事部门提供全公司人员的维护服务；各种业务系统为公司内部不同的业务提 供不同的服务等等这些系统的目的都是让计算机来进行复杂繁琐的计算工作, 来替代人力的手 工劳动，提高工作效率和质量这些不同的系统往往是在不同 的时期建设起来的，运行在不同的平台上；也许是由不同厂商开发，使用了各种 不同的技术和标准如 果举例说国内一著名的IT公司(名字隐去)，内部共有 60多个业务系统，这些系统包括两个不同版本的SAP的ERP系统，12个不同 类型和版本的数据库系 统，8个不同类型和版本的操作系统，以及使用了3种 不同的防火墙技术，还有数十种互相不能兼容的协议和标准，你相信吗？不要怀 疑，这种情况其实非常普遍每一个应用系统在运行了数年以后，都会成为不 可替换的企业IT架构的一部分，如下图所示。
Customers Suppliers Employees PartnersSupply Communications Custom e-businessChain Applications Applications ApplicationsApplications随着企业的发展，业务系统的数量在不断的增加，老的系统却不能轻易的 替换，这会带来很多的开销其一是管理上的开销，需要维护的系统越来越多 很多系统的数据是相互冗余和重复的，数据的不一致性会给管理工作带来很大的压力业务和业务之间的相关性也越来越大，例如公司的计费系统和财务系统， 财务系统和人事系统之间都不可避免的有着密切的关系为了降低管理的消耗，最大限度的重用已有投资的系统，很多企业都在进 行着企业应用集成（EAI）企业应用集成可以在不同层面上进行：例如在数据 存储层面上的''数据大集中〃，在传输层面上的''通用数据交换平台〃，在应用层 面上的''业务流程整合〃，和用户界面上的''通用企业门户〃等等事实上，还用一 个层面上的集成变得越来越重要，那就是''身份认证〃的整合，也就是''单点登 录〃通常来说，每个单独的系统都会有自己的安全体系和身份认证系统。
整合 以前，进入每个系统都需要进行登录，这样的局面不仅给管理上带来了很大的困 难，在安全方面也埋下了重大的隐患下面是一些著名的调查公司显示的统计数 据：•用户每天平均16分钟花在身份验证 任务上-资料来源：IDS•频繁的IT用户平均有21个密码- 资料来源：NTA Monitor Password Survey• 49%的人写下了其密码，而67%的人很少改变它们•每79秒出现一起身份被窃事件-资料来源：National Small Bus in ess Travel Assoc•全球欺骗损失每年约12B -资料来 源: Comm Fraud Control Assoc•到2007年，身份管理市场将成倍增 长至$4.5B -资料来源：IDS使用''单点登录〃整合后，只需要登录一次就可以进入多个系统，而不需要 重新登录，这不仅仅带来了更好的用户体验，更重要的是降低了安全的风险和管 理的消耗请看下面的统计数据：•提高IT效率：对于每1000个受管 用户，每用户可节省$70K•帮助台呼叫减少至少1/3,对于10K 员工的公司，每年可以节省每用户$75,或者合计$648K•生产力提高：每个新员工可节省$1K，每个老员工可节省$350 -资 料来源：Giga• ROI回报：7.5到13个月-资料来 源: Gartner另外，使用''单点登录〃还是SOA时代的需求之一。
在面向服务的架构中， 服务和服务之间，程序和程序之间的通讯大量存在，服务之间的安全认证是SOA 应用的难点之一，应此建立''单点登录〃的系统体系能够大大简化SOA的安全问 题，提高服务之间的合作效率2单点登陆的技术实现机制随着SSO技术的流行，SSO的产品也是满天飞扬所有著名的软件厂商 都提供了相应的解决方案在这里我并不想介绍自己公司（Sun Microsystems）的产品，而是对SSO技术本身进行解析，并且提供自己开发 这一类产品的方法和简单演示有关我写这篇文章的目的，请参考我的博 客http://yuwa 单点登录的机制其实是比较简单的，用一个现实中的例子做比较颐和园 是北京著名的旅游景点，也是我常去的地方在颐和园内部有许多独立的景点， 例如''苏州街〃、“佛香阁〃和''德和园〃，都可以在各个景点门口单独买票很多 游客需要游玩所有德景点，这种买票方式很不方便，需要在每个景点门口排队买 票，钱包拿 进拿出的，容易丢失，很不安全于是绝大多数游客选择在大门口 买一张通票（也叫套票），就可以玩遍所有的景点而不需要重新再买票他们只 需要在每个景点门口出示一下刚才买的套票就能够被允许进入每个独立的景 点。
单点登录的机制也一样，如下图所示，当用户第一次访问应用系统1的时 候，因为还没有登录，会被引导到认证系统中进行登录（1）；根据用户提供的 登录信息，认证系统进行身份效验，如果通过效验，应该返回给用户一个认证的凭据 ticket （2）；用户再访问别的应用的时候（3, 5）就会将这个ticket带上，作为自己认证的凭据，应用系统接受到请求之后会把ticket送到认证系 统进行效验，检查ticket的合法性（4，6）如果通过效验，用户就可以在不 用再次登录的情况下访问应用系统2和应用系统3 了从上面的视图可以看出，要实现SSO,需要以下主要的功能:•所有应用系统共享一个身份认证系 统统一的认证系统是SSO的前提之一认证系统的主要功能是将用户的 登录信息和用户信息库相比较，对用 户进行登录认证；认证成功后，认证 系统应该生成统一的认证标志（ticket），返还给用户另外，认 证系统还应该对ticket进行效验，判 断其有效性•所有应用系统能够识别和提取ticket信息要实现SSO的功能，让用户只登录 一次，就必须让应用系统能够识别已 经登录过的用户应用系统应该能对 ticket进行识别和提取，通过与认证 系统的通讯，能自动判断当前用户是否登录过，从而完成单点登录的功 厶匕 能。
上面的功能只是一个非常简单的SSO架构，在现实情况下的SSO有着更 加复杂的结构有两点需要指出的是：•单一的用户信息数据库并不是必须 的，有许多系统不能将所有的用户信 息都集中存储，应该允许用户信息放 置在不同的存储中，如下图所示事 实上，只要统一认证系统，统一 ticket的产生和效验，无论用户信息 存储在什么地方，都能实现单点登 录•统一的认证系统并不是说只有单个 的认证服务器，如下图所示，整个系 统可以存在两个以上的认证服务器， 这些服务器甚至可以是不同的产品 认证服务器 之间要通过标准的通讯 协议，互相交换认证信息，就能完成 更高级别的单点登录如下图，当用 户在访问应用系统1时，由第一个认证服务器进行认证后，得到由此 服 务器产生的ticket当他访问应用系 统4的时候，认证服务器2能够识别 此ticket是由第一个服务器产生的， 通过认证服务器之间标准的通讯协 议（例如SAML）来交换认证信息, 仍然能够完成SSO的功能3 WEB-SSO的实现随着互联网的高速发展，WEB应用几乎统治了绝大部分的软件应用系统， 因此WEB-SSO是SSO应用当中最为流行WEB-SSO有其自身的特点和优 势，实现起来比较简单易用。
很多商业软件和开源软件都有对WEB-SSO的实 现其中值得一提的是 OpenSSO （），为 用Java实现WEB-SSO提供架构指南和服务指南，为用户自己来实现 WEB-SSO提供了理论的依据和实现的方法为什么说WEB-SSO比较容易实现呢？这是有WEB应用自身的特点决定 的众所周知，Web协议（也就是HTTP）是一个无状态的协议一个Web 应用由很多个Web页面组成，每个页面都有唯一的URL来定义用户在浏览 器的地址栏输入页面的URL,浏览器就会向Web Server去发送请求如下 图，浏览器向Web服务器发送了两个请求，申请了两个页面这两个页面的请 求是分别使用了两个单独的HTTP连接所谓无状 态的协议也就是表现在这里，浏览器和Web服务器会在第一个请求完成以后关闭连接通道，在第二个请求的 时候重新建立连接Web服务器并不区分哪个请求来自哪个客户端，对所有的 请求都一视同仁，都是单独的连接这样的方式大大区别于传统的Web Server(Client/Server) C/S结构，在那样的应用中，客户端 和服务器端会建立一个 长时间的专用的连接通道正是因为有了无状态的特性，每个连接资源能够很快 被其他客户端所重用，一台Web服务器才能够同时服务于成 千上万的客户端。
申诸页駅1贡韶甲请熨血戈但是我们通常的应用是有状态的先不用提不同应用之间的SSO,在同一 个应用中也需要保存用户的登录身份信息例如用户在访问页面1的时候进行 了登录，但 是刚才也提到，客户端的每个请求都是单独的连接，当客户再次访 问页面2的时候，如何才能告诉Web服务器，客户刚才已经登录过了呢？浏览 器和服务器之间有 约定：通过使用cookie技术来维护应用的状态Cookie是 可以被Web服务器设置的字符串，并且可以保存在浏览器中如下图所示，当 浏览器访问了页面1时，web服务器设置了一个cookie，并将这个cookie 和页面1 一起返回给浏览器，浏览器接到cookie之后，就会保存起来，在它访 问页 面2的时候会把这个cookie也带上，Web服务器接到请求时也能读出 cookie的值，根据cookie值的内容就可以判断和恢复一些用户的信息状 态Web Server曲遵臨臨臨血臨曲:酎:「………'：：X：：M：：X：：M：：X：：M：：X：：M：：X：：M：门防阳熙阳殖阳防隔防煞l：：X：：M：：X：：M：：X：：M：：X：：M：：X：：M：iiiiiiiiiiiiiiiBmiiiWeb-SSO完全可以利用Cookie结束来完成用户登录信息的保存，将浏 览器中的Cookie和上文中的Ticket结合起来，完成SSO的功能。
为了完成一个简单的SSO的功能，需要两个部分的合作:•统一的身份认证服务•修改Web应用，使得每个应用都通 过这个统一的认证服务来进行身份 效验3・1 Web SSO的样例根据上面的原理，我用J2EE的技术(JSP和Servlet)完成了一个具有 Web-SSO的简单样例样例包含一个身份认证的服务器和两个简单的Web应 用，使得这两个Web应用通过统一的身份认证服务来完成Web-SSO的功能 此样例所有的源代码和二进制代码都可以从网站地址http://gceclub.s un. com.c n/wa ngyu/下载样例下载、安装部署和运行指南：• Web-SSO的样例是由三个标准 Web应用组成，压缩成三个zip文 件，从http://gceclub.s un. com.c n/wa n gyu/web-sso/中下载其中 SSOAuth(http://gceclub.s un. com.c n/w an gyu/web-sso/SSOAuth.zip) 是身份认证服务；SSOWebDemo1(http://gceclub.s un. com.c n/w an gyu/web-sso/SSOWebDemo1. zip)和 SSOWebDemo2(http://gceclub.s un. com.c n/w an gyu/web-sso/SSOWebDemo2. zip)是两个用来演示单点登录的 Web应用。
这三个Web应用之所以 没有打成war包，是因为它们不能直接部署，根据读者的部署环境需要作 出小小的修改样例部署和运行的 环境有一定的要求，需要符合Servlet2.3以上标准的J2EE容器 才能运行(例如Tomcat5,SunApplicati on Server 8, Jboss 4等)另外，身份认证服务需要JDK1.5的运行环境之所以要用JDK1.5是因为笔者使用了一个线程 安全的高性能的Java集合类“ConcurrentMap”,只有在 JDK1.5中才有这三个Web应用完全可以单独部 署，它们可以分别部署在 不同的机 器，不同的操作系统和不同的J2EE 的产品上，它们完全是标准的和平台 无关的应用但是有一个限制，那两台部署应用(demo1、demo2)的 机器的域名需要相同，这在后面的章 节中会解释到cookie和domain的 关系以及如何制作跨域的WEB-SSO解压缩SSOAuth.zip文件，在 /WEB-INF/下的 web.xml 中请修 改“domai nn ame”的属性以反映实 际的应用部署情况，domai nn ame 需要设置为两个单点登录的应用(demo1和demo2)所属的域名。
这个domainname 和当前SSOAuth服务部署的机器的域名 没有关系我缺省设置的是“”如果你部署 demo1和demo2的机器没有域名，请输入IP地址或主机名(如localhost)，但是如果使用IP地址或主机名也就 意味着demol和demo2需要部署 到一台机器上了设置完后，根据你 所选择的J2EE容器，可能需要将SSOAuth这个目录压缩打包成war 文件用“jar -cvf SSOAuth.warSSOAuth/〃就可以完成这个功能• 解压缩SSOWebDemol和 SSOWebDemo2文件，分别在它们 /WEB-INF/下找到 web.xml 文件， 请修改其中的几个初始化参数vi nit-param>vparam-n ame>SSOServiceURLv/param-n ame> vparam-value>http://wa ngyu.prc.s un .com:8080/SSOAuth/SSOAut hv/param-value>v/i nit-param>vi nit-param>vparam-n ame>SSOLogi nPagev/param-n ame> vparam-value>http://wa ngyu.prc.s un .com:8080/SSOAuth/logi njsp v/param-value>v/i nit-param>• 将其中的SSOServiceURL和 SSOLoginPage修改成部署 SSOAuth应用的机器名、端口号以 及根路径（缺省是SSOAuth）以反 映实际的部署情况。
设置完后，根据 你所选择的J2EE容器，可能需要将 SSOWebDemol 和SSOWebDemo2这两个目录压 缩 打包成两个war文件用“jar-cvf SSOWebDemol.war功能•请输入第一个web应用的测试URL(test.jsp)，例如http://wa ngyu.prc.s un .com:80 80/SSOWebDemo1/test.jsp，女口 果是第一次访问，便会自动跳转到登 录界面，如下图Uscmamfl：］ ；! I•使用系统自带的三个帐号之一登录(例如，用户名：wangyu,密码： wa ngyu)，便能成功的看到test.jsp 的内容：显示当前用户名和欢迎信 息 ■ ^http://wangyLF. prc.&uri-Cflfn :8M(ySS0WeWOterno 1/test.jsp * 熒遂遥遛芟遞蛙遥遛或邀芟遥遛遥送蛙遥遛遥送芟遥遛遥送蛙遥遛遥送蛙遥遛埜送鱼世卷筌童刖己辿■: ：■：.：■：:■::■: ：■：.：■：:■：.：■： ：■：.：■： ：■：.：■：:请接着在同一个浏览器中输入第二 个web应用的测试URL(test.jsp), 例如http://wa ngyu.prc.s un .com:80 80/SSOWebDemo2/test.jsp。
你 会发现，不需要再次登录就能看到 test.jsp的内容，同样是显示当前用 户名和欢迎信息，而且欢迎信息中明 确的显示当前的应用名称(demo2)3・2 WEB-SSO代码讲解3.2.1身份认证服务代码解析Web-SSO的源代码可以从网站地址 下载身 份认证服务是一个标准的web应用，包括一个名为SSOAuth的Servlet，一 个loginjsp文件和一个failed.html身份 认证的所有服务几乎都由 SSOAuth的Servlet来实现了 ； log in .jsp用来显示登录的页面（如果发现用 户还没有登录过）；failed.html是用来显示登录失败的信息（如果用户的用户 名和密码与信息数据库中的不一样）SSOAuth的代码如下面的列表显示，结构非常简单，先看看这个Servlet 的主体部分：package DesktopSSO;import java.io ■*;import java .n et ■*;import java.text ■*;import java.util. *;import java.util.c on curre nt.*;import javax.servlet ■*;import javax.servlet.http ■*;public class SSOAuth exte nds HttpServlet {static private Con curre ntMap acco un ts;static private Con curre ntMap SSOIDs;Stri ng cookie name="Wa ngYuDesktopSSOID";Stri ng doma inn ame;public void in it(ServletC onfig con fig) throws ServletExcepti on { super.i nit(c on fig);doma inn ame= con fig.get In itParameter("doma inn ame"); cookie name = con fig.getI nitParameter("cookie name"); SSOIDs = new Con curre ntHashMap();acco unts=new Con curre ntHashMap();acco un ts.put("wa ngyu", "wa ngyu");acco un ts.put("pa ul", "paul");acco un ts.put("car ol", "carol");}protected void processRequest(HttpServletRequest request, HttpServletResp onse resp on se) throws ServletExceptio n, IOExceptio n {Pri ntWriter ut = resp on se.getWriter();Stri ng actio n = request.getParameter("acti on");Stri ng result="failed";if (actio n = = n ull) {han dlerFromLog in (request,resp on se);} else if (acti on .equals("authcookie")){Stri ng myCookie = request.getParameter("cookie name"); if (myCookie != n ull) result = authCookie(myCookie); out.pri nt(result);out.close();} else if (acti on. equals("authuser")) {result=authNameA ndPasswd(request,resp on se);out.pri nt(result);out.close();} else if (acti on .equals("logout")) {Stri ng myCookie = request.getParameter("cookie name"); logout(myCookie);out.close();}}}从代码很容易看出，SSOAuth就是一个简单的Servlet。
其中有两个静态 成员变量：accounts和SSOIDs，这两个成员变量都使用了 JDK1.5中线程安 全的MAP类：ConcurrentMap,所以这个样例一定要JDK1.5才能运行Accounts用来存放用户的用户名和密码，在init()的方法中可以看到我 给系统 添加了三个合法的用户在实际应用中，accounts应该是去数据库中或LDAP 中获得，为了简单起见，在本样例中我使用了 ConcurrentMap在内存中用程 序创建了三个用户而SSOIDs保存了在用户成功的登录后所产生的cookie 和用户名的对应关系它的功能显 而易见：当用户成功登录以后，再次访问别 的系统，为了鉴别这个用户请求所带的cookie的有效性，需要到SSOIDs中检 查这样的映射关系是否存在在主要的请求处理方法processRequest()中，可以很清楚的看到SSOAuth的所有功能如果用户还没有登录过，是第一次登 录本系统，会被跳转到loginjsp页 面(在后面会解释如何跳转)用户 在提供了用户名和密码以后，就会用 han dlerFromLog in()这个方法来 验证•如果用户已经登录过本系统，再访问 别的应用的时候，是不需要再次登录 的。
因为浏览器会将第一次登录时产 生的cookie和请求一起发送效验 cookie的有效性是SSOAuth的主 要功能之一• SSOAuth还能直接效验非log in .jsp页面过来的用户名和密码 的效验请求这个功能是用于非web 应用的SSO，这在后面的桌面SSO 中会用到• SSOAuth还提供logout服务下面看看几个主要的功能函数：private void han dlerFromLogi n( HttpServletRequest request, HttpServletResp onse resp on se) throws ServletExceptio n, IOExceptio n {Stri ng user name = request.getParameter("user name");Stri ng password = request.getParameter("password");Stri ng pass = (Stri ng)acco un ts.get(user name); if ((pass= = n ull)||(!pass.equals(password)))getServletC on text0.getRequestDispatcherC7failed.html"). forward(request, resp on se);else {Stri ng gotoURL = request.getParameter("goto");Stri ng n ewID = createUID(); SSOIDs.put (n ewID, user name);Cookie wan gyu = new Cookie(cookie name, n ewID); wan gyu.setDoma in( doma inn ame);wa ngyu.setMaxAge(60000); wan gyu.setValue (n ewID);wa ngyu.setPath("/");resp on se.addCookie(wa ngyu);System.out.pri ntln( "logi n success, goto back url:" + gotoURL);if (gotoURL != null) {Pri ntWriter ut = resp on se.getWriter();resp on se.se ndRedirect(gotoURL);out.close();}}}handlerFromLogin()这个方法是用来处理来自loginjsp的登录请求。
它 的逻辑很简单：将用户输入的用户名和密码与预先设定好的用户集合(存放在 accounts中)相比较，如果用户名或密码不匹配的话，则返回登录失败的页面 (failed.html)，如果登录成功的话，需要为用户当前的session创建一个新 的ID,并将这个ID和用户名的映射关系存放到SSOIDs中，最后还要将这个 ID设置为浏览器能够保存的cookie值登录成功后，浏览器会到哪个页面呢？那我们回顾一下我们是如何使用身 份认证服务的一般来说我们不会直接访问身份服务的任何URL，包括 logi njsp身份服务是用来保护其他应用服务的，用户一般在访问一个受 SSOAuth保护的Web应用的某个URL时，当前这个应用会发现当前的用户 还没有登录，便强制将也页面转向SSOAuth的loginjsp，让用户登录如果 登录成功后，应该自动的将用户的浏览器指向用户最初想访问的那 个URL在 handlerFromLogin()这个方法中，我们通过接收“goto这个参数来保存用户 最初访问的URL，成功后便重新定向到这个页 面中另外一个要说明的是，在设置cookie的时候，我使用了一个 setMaxAge(6000)的方法。
这个方法是用来设置cookie的有效期,单位是秒 如果不使用这个方法或者参数为负数的话，当浏览器关闭的时候，这个cookie 就失效了在这里我给了很大的值(1000分钟)，导致的行为是：当你 关闭 浏览器(或者关机)，下次再打开浏览器访问刚才的应用，只要在1000分钟之 内，就不需要再登录了我这样做是下面要介绍的桌面SSO中所需要的功能其他的方法更加简单，这里就不多解释了3.2.2具有SSO功能的web应用源代码解析 要实现WEB-SSO的功能，只有身份认证服务是不够的这点很显然，要想使多个应用具有单点登录的 功能，还需要每个应用本身的配合：将自己的身份认证的 服务交给一个统一的 身份认证服务一SSOAuthSSOAuth服务中提供的各个方法就是供每个加入SSO的Web应用来调用的再转载点内容：昨天和几位朋友探讨到了这个话题，发现虽然单点登录，或者叫做独立的 passport登录虽然已经有了很多实现方法，但是能真正了解并实现的人却并不 太多，所以些下此文，希望从原理到实现，能让大家了解的多一些至于什么是单点登录，举个例子,如果你登录了 msn messenger,访问hotmail 邮件就不用在此登录。
一般单点登录都需要有一个独立的登录站点,一般具有独立的域名，专门的进行 注册，登录，注销等操作我们为了讨论方便，把这个登录站点叫做站点P,设其Url为 ，需要提供服务的站点设为A和B，跨站点 单点登录是指你在A网站进行登录后，使用B网站的服务就不需要再登录从技术角度讲单点登录分为：•跨子域单点登录•完全跨单点域登录跨子域单点登录所谓跨子域登录，A，B站点和P站点位于同一个域下面，比如A站点为 B 站点为 , 他们和登录站点P的关系可以看到，都是属于同一个父域，, 不同的是子域不同，一个为blog，—个为forum，一个是passport我们先看看最常用的非跨站点普通登录的情况，一般登录验证通过后，一般会将 你的用户名和一些用户信息，通过某一密钥进行加密，写在本地，也就是一个加 密的cookie，我们把这个cookie叫做--票（ticket）需要判断用户是否登录的页面，需要读取这个ticket，并从其中解密出用户信息， 如果ticket不存在，或者无法解密，意味着用户没有登录，或者登录信息不正 确，这时就要跳转到登录页面进行登录，在这里加密的作用有两个，一是防止用 户信息被不怀好意者看到，二是保证ticket不会被伪造，后者其实更为重要， 加密后，各个应用需要采用与加密同样的密钥进行解密，如果不知道密钥，就不 能伪造出ticket，（注：加密和解密的密钥有可能不同，取决于采用什么加密算法，如果是对称加 密，则为同一密钥，如果是非对称，就不同了，一般用私钥加密，公钥解密，但 是无论怎样，密钥都只有内部知道，这样伪造者既无法伪造也无法解密ticket）跨子域的单点登录，和上述普通登录的过程没有什么不同，唯一不同的是写 cookie时，由于登录站点P和应用A处于不同的子域，P站写入的cookie的域为 ,而 A 站点为 forum.yizhu200O.net, A 在判 断用户登录时无法读到P站点的ticket解决方法非常简单，当Login完成后P站点写ticket的时候，只需把cookie 的域设为他们共同的父域，就可以了：cookie.domain = ""，A站点自然就可以读到这个 ticket 了ASP。
Net的form验证本身实现了这个机制，大家可以参考http://blog.csd n.n et/octverve/archive/2007/09/22/1796338.aspxASP.NET身份验证信息跨域共享状态在ASP.NET2.0中只需修改web.config文件即可，修改方法如下{authentication mode="Forms"> domain指定了cookie保存的域,只要保存的是形式或者 的形式，那么其二级域名都可以共享此ookie此外，web.config标签中的也做相应修改，mode改为 StateServer或者SqlServer,那么里面的session信息也就全部可以共享了。
StateServer需要在服务中开启'状态服务〃的服务http://www.i mn netn ote1/，以上斜体内容摘自 此链接完全跨单点域登录完全跨域登录，是指A，B站点和P站点没有共同的父域，比如A站点为 ,B 站点为 ，大家可以参考微软旗 下的几个站点,,这两个站点就没有 共同的父域，而仍然可以共用登录，怎样才能实现呢？请参考下图，由于这种情 况ticket比较复杂，我们暂时把P站点创建的的ticket叫做P-ticket，而A站 点创建的 ticket 叫 A-ticket，B 的为 B-ticket由于站点A ()不能读取到由站点P()创建的加密ticket，所以当用户访问A站点上 需要登录才能访问的资源时，A站点会首先查看是否有A-ticket，如果没有，证 明用户没有在A站点登录过，不过并不保证用户没有在B站点登录，(重复一 下，既然是单点登录，当然无论你在A，B任意一个站点登录过，另外一个站点 都要可以访问)，请求会被重定向到p站点的验证页面，验证页面读取P-ticket， 如果没有，或者解密不成功，就需要重定向登录页面，登录页面完成登录后，写 一个加密cookie，也就是P-ticket，并且重定向到A站点的登录处理页，并把 加密的用户信息作为参数传递给这个页面，这个页面接收登录页的用户信息，解 密后也要写一个cookie，也就是A-ticket，今后用户再次访问A站点上需要登 录权限才能访问的资源时，只需要检查这个A-cookie是否存在就可以了当用户访问B站点时，会重复上面的过程，监测到没有B-ticket，就会重定向 到P站点的验证页面，去检查P-ticket，如果没有，就登录，有则返回B的登 录处理页面写B-ticket注销的时候需要删除P-ticket和A-ticketForum.ytzhu 注销删除 P-ticket疼广端浏览器■MWWRWBBE 注捎处 理页繼綴翠麴芋:翅:鄒Pa33port.yiz huSOOO. com怎么删除cookie:本来以为这个不是问题，不过还是有朋友问道，简单的说其 实是创建一个和你要删除的cookie同名的cookie，并把cookie的expire设 为当前时间之前的某个时间，不过在跨子域的删除cookie时有一点要注意：必 须要把cookie的域设置为父域，在本文中为为了保证各个环节的传输的安全性，最好使用https连接 原文地址：http://www.c tml。