一个单点登录问题，请banq和J道友指教。

10-07-01 sonnylys
场景：
有www.a.com（A）, www.b.com(B)和www.c.com(C)三台主机。 A主机部署了appA应用，B主机部署appB应用，C主机部署了单点登录认证服务器应用。
appA和appB通过主机C做基于Cookie的单点登录应用。

问题描述：
假如以下条件已成立： 主机A和主B都已成功向认证主机C获得了认证票据，并通过认证票据从认证服务器C获得了会员信息，同时在本地（appA和appB）内存维护了一份票据和关联的会员登录信息，目的是避免每次都向认证服务器请求会员信息。
本人想用认证服务器C的session来维护会员登录状态的活存周期，也就是当证服务器C的session过期销毁事件里加上向各客户端（appA,appB）发出注销通知消息。这样一来，我想到会存在一个问题：假如会员只是在认证时请求了1次服务器C，之后只访问appA或aapB, 那岂不是造成会员一直在使用系统（因为一直在访问aapA\aapB）, 但服务器C的session却因一直没检测到有会员的请求而过期，从而引起登录状态的注销？

不知我描述是否清楚，其实我是想寻找一种管理认证票证（或是说登录状态）存活周期的方案。请大家指教。

3
sonnylys
2010-07-01 11:00
在每个应用本地维护一份会员登录状态信息，虽然可以避免每次都向服务器请求，但也引起其它问题，假如集群环境下，appA应用部署在1.1.1.ip1和1.1.1.ip2两台主机上，当认证服务器注销了登录状态，向appA发送通知，要求aapA也注销，但集群环境下，是不是只能注销1.1.1.ip1或是1.1.1.ip2其中一台主机？
不知我的理解正不正确？

chuangsheng
2010-07-01 17:39
能否这样，将会话交与被登录的应用维护如何？

sonnylys
2010-07-01 17:55
2010年07月01日 17:39 "chuangsheng"的内容
能否这样，将会话交与被登录的应用维护如何？ ...


能否说详细点？

banq
2010-07-01 19:44
2010年07月01日 10:44 "sonnylys"的内容
但服务器C的session却因一直没检测到有会员的请求而过期，从而引起登录状态的注销？ ...


使用terracotta之类分布式缓存来进行session在a b c之间同步复制。

sabbath
2010-07-02 17:37
c向a b发送消息 a b看到消息 再比较指定用户是不是该注销 并同时返回给c一个消息 c看到返回也许是真的注销该用户 也许是更改用户信息

tianqiq
2010-07-04 22:18
我不知道你单点登录为什么要这要做。现在一般的方案是用memcache等做分布式缓存。具体怎么做你可以去

到网上找找。

但是你一定要这么做也是有办法解决的。 很简单你不就是怕用户从c认证后，就不再访问c了。只访问a，b了。

很简单的办法。你可以在你的 a，b的每一个页面里嵌入一小段c域上的资源，比方说一段js ，一张小图片等等。

不就可以。

sonnylys
2010-07-06 13:16
2010年07月04日 22:18 "tianqiq"的内容
很简单的办法。你可以在你的 a，b的每一个页面里嵌入一小段c域上的资源，比方说一段js ，一张小图片等等。

不就可以。 ...


用js我有想过的，如ajax异步去请求c，但a,b应用里的页面的document里的cookie并没办法拿到c服务器的session id,这样用ajax发过去的请求，每次都是不同的session.

sonnylys
2010-07-06 13:23
用session的生命周期来管理票据存活期及会员登录状态也不好实现，目前遇到问题是当session注销事情里并没法获取到cookie里的票。还有个办法是将session id作票据，当session注销时，在监听事情里就可以使用类似如下实现代码：
public void sessionDestroyed(HttpSessionEvent event) {
SSOServer server = ....
server.timeout(event.getSession().getId());
}

////这样在单认证服务器环境下是没问题的，但在集群环境下就有问题了：注销的session 不一定是生产ticket时的session。

sonnylys
2010-07-06 13:29
2010年07月02日 17:37 "sabbath"的内容
c向a b发送消息 a b看到消息 再比较指定用户是不是该注销 并同时返回给c一个消息 c看到返回也许是真的注销该用户 也许是更改用户信息 ...


假如a,b主机是集群环境下的相同应用，使用的域名都是www.abc.com， 那么，当c发消息的时侯，也就是请求www.abc.com，那么这个消息就只能到达a或者b其中一台主机，而另外一台就没法接收到c的消息。

不知我的理解正确不？

sonnylys
2010-07-06 13:37
2010年07月04日 22:18 "tianqiq"的内容
我不知道你单点登录为什么要这要做。现在一般的方案是用memcache等做分布式缓存。具体怎么做你可以去

到网上找找 ...


有没这方面的具休方案哦，能否提供参考参考？？

tianqiq
2010-07-06 14:12
我简单说下原理：

我们知道，事实上服务器怎么找到一个用户的session是通过一个储存在

客户的一个cookie session_id来进行的。 一般情况下。我们有多个站

时。用户访问的每一个站都会是一个不同的session__id 。这是

http服务器的基本工作。 那么如果能把各个站的session_id统一起来。

并把session放到一个独立地方。是不是就可以使多个站共享session了。

要实现也非常简单的。 比如说a,b,c3个站。我想让用户登陆任何一个站

都能同步到另外2个站。 我可以这样做。当用户首次访问我们a站上的

index时。我们在自己设置一个cookie作为这个客户的session_id（注意

这里指的不是http服务器默认的那个session_id，其实也行）我们可以

在index的页面中把生产的这个session_id 发送给b，c上的一个处理页

面（比方说我们在index中嵌入一个jsp页面什么不输出，就设置一个

cookie ）并也将这个session_id设置到用户浏览器cookie中。 这个时

候，我们的每一个站都有了一个相同的cookie了session_id。我们可以

将这个cookie作为标示，将用户的信息，保存至一个map里。这个地

方map每个站都可以访问。我们产生的sessin_id做为key。用户的信息作为value。 我们的每一个站只用拿我们产生的那个cookie session_id

就去那个map里取用户的信息。而memcache就是一个这样的分布式缓存

那key取value 很适合做这个。

可能我表达不行， 不晓得你懂了没。

sonnylys
2010-07-06 14:47
2010年07月06日 14:12 "tianqiq"的内容
我们可以

在index的页面中把生产的这个session_id 发送给b，c上的一个处理页

面（比方说我们在index中嵌入一个jsp页面什么不输出，就设置一个

cookie ）并也将这个session_id设置到用户浏览 ...


谢谢tianqiq的详细描述。

当a,b,c为跨主域时怎么做到使用相同的cookie? 当访问a时，重定向至b，然后再重定向至c?
还有个不是很确定的问题：假如域名www.abc.com 部置了同样的应用主机x和主机y来做集群。当用户访问www.abc.com时在x产生了session id 产生cookie给客户端，当客户再访问www.abc.com请求指向了y，y是否会用在x产生的session id来生成一个session?

tianqiq
2010-07-07 10:59
看来我的表达方式确实是差了。

比方说a站的一个页面: login

在login的页面里有这样一段代码.

<img src="www.b.com/setcookie.jsp?session_id=(统一产生的id)" sytle="displsy:none"/>
<img src="www.c.com/setcookie.jsp?session_id=(统一产生的id)" sytle="displsy:none"/>
<img src="www.d.com/setcookie.jsp?session_id=(统一产生的id)" sytle="displsy:none"/>
<img src="www.e.com/setcookie.jsp?session_id=(统一产生的id)" sytle="displsy:none"/>

而setcookie.jsp他的作用主要做用就是当根据传递过来的session设置这个session_id到客户端浏览器。

这个时候b,c,d,e是不是都有了一个统一的session_id了。不过在b,c,d,e的setcookie.jsp里应该设置p3p头 。

其实也就在http响应里，添加一个响应头。说明我是好人。 请接受我的cookie 呵呵。

不然在ie下是无法成功的。ie默认不接受第3方cookie的。

sonnylys
2010-07-07 21:26
2010年07月07日 10:59 "tianqiq"的内容
不过在b,c,d,e的setcookie.jsp里应该设置p3p头 。

其实也就在http响应里，添加一个响应头。说明我是好人。 请接受我的cookie 呵呵。

不然在ie下是无法成功的。ie默认不接受第3方cookie的。 ...


我的知识点在这里断层，谢谢tianqiq的回答，我先了解下p3p头。非常感谢。

猜你喜欢