锦中融合门户系统

小明：老张，我最近在做公司的一个新项目，涉及到“融合门户”和“登录”功能。你能不能给我讲讲这方面的内容？

老张：当然可以。融合门户（Federated Portal）是一种将多个独立系统或服务整合到一个统一入口的技术方案，而登录则是用户访问这些系统的前提。单点登录（SSO）就是其中的关键技术之一。

小明：那什么是单点登录呢？它是怎么工作的？

老张：单点登录指的是用户只需要一次登录，就可以访问所有相互信任的应用系统，而不需要重复登录。它通常依赖于身份认证中心（Identity Provider, IDP）来管理用户的认证状态。

小明：听起来很像OAuth2.0？

老张：没错，OAuth2.0是实现单点登录的一种常见协议。不过，SSO也可以使用SAML等其他协议。我们先以OAuth2.0为例来讲解。

小明：那我们可以用什么工具或框架来实现呢？比如Spring Security、JWT之类的？

老张：是的，Spring Security是一个常用的Java框架，可以用来构建安全的Web应用。同时，JWT（JSON Web Token）也是一种常用的身份令牌格式，适合分布式系统。

小明：那你能举个例子吗？比如如何实现一个简单的单点登录系统？

老张：当然可以。我们先来看一个基本的流程：用户访问门户系统，如果未登录，跳转到认证中心；用户在认证中心登录后，获取一个令牌；然后重定向回门户系统，门户系统使用这个令牌验证用户身份。

小明：那具体代码是怎么写的？

老张：我们以一个基于Spring Boot和OAuth2.0的简单示例来说明。首先，我们需要搭建一个认证中心（Auth Server），然后是资源服务器（Resource Server）。

小明：好的，那先说说认证中心的代码吧。

老张：认证中心主要负责生成和颁发令牌。我们可以使用Spring Security OAuth2来实现。下面是一个简单的配置类：

@Configuration
@EnableAuthorizationServer
public class AuthServerConfig extends AuthorizationServerConfigurerAdapter {

    @Autowired
    private AuthenticationManager authenticationManager;

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
                .withClient("client-id")
                .secret("client-secret")
                .authorizedGrantTypes("password", "refresh_token")
                .scopes("read", "write");
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.authenticationManager(authenticationManager);
    }
}

    

小明：那用户登录的时候，是怎么处理的？

老张：用户登录时，会向认证中心发送用户名和密码，认证中心验证成功后，返回一个access token。我们可以用如下代码模拟这个过程：

@RestController
@RequestMapping("/auth")
public class AuthController {

    @PostMapping("/login")
    public ResponseEntity login(@RequestBody LoginRequest request) {
        // 模拟用户验证逻辑
        if ("admin".equals(request.getUsername()) && "123456".equals(request.getPassword())) {
            String token = JWT.create()
                    .withSubject("user")
                    .withExpiresAt(new Date(System.currentTimeMillis() + 3600 * 1000))
                    .sign(Algorithm.HMAC256("secret-key"));
            return ResponseEntity.ok(token);
        } else {
            return ResponseEntity.status(HttpStatus.UNAUTHORIZED).body("Invalid credentials");
        }
    }
}

    

小明：那资源服务器是怎么验证这个token的呢？

老张：资源服务器需要配置一个过滤器，用于检查请求头中的token是否有效。我们可以使用Spring Security的JWT支持来实现这一点。下面是一个简单的配置类：

@Configuration
@EnableWebSecurity
public class ResourceServerConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .anyRequest().authenticated()
                .and()
                .addFilterBefore(new JwtFilter(), UsernamePasswordAuthenticationFilter.class);
    }
}

class JwtFilter extends OncePerRequestFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
            throws ServletException, IOException {
        String token = request.getHeader("Authorization");
        if (token != null && token.startsWith("Bearer ")) {
            token = token.substring(7);
            try {
                DecodedJWT jwt = JWT.decode(token);
                if (!jwt.getExpiresAt().before(new Date())) {
                    // 验证通过，继续处理
                    filterChain.doFilter(request, response);
                    return;
                }
            } catch (Exception e) {
                response.sendError(HttpStatus.FORBIDDEN.value(), "Invalid token");
                return;
            }
        }
        response.sendError(HttpStatus.FORBIDDEN.value(), "Missing token");
    }
}

    

小明：这样就实现了单点登录的基本流程了？

老张：是的，这只是基础版本。实际生产环境中，还需要考虑令牌刷新、权限控制、跨域问题、安全性加固等。

小明：那融合门户又是怎么整合这些系统的呢？

老张：融合门户的核心在于将多个子系统统一到一个入口，用户只需一次登录即可访问所有相关服务。为了实现这一点，门户系统通常作为前端代理，通过API调用各个子系统的接口。

小明：那门户系统是如何知道用户是否已经登录的？

老张：门户系统可以通过检查用户Session或者从JWT中提取用户信息来判断是否已登录。例如，用户第一次访问门户时，会被重定向到认证中心进行登录，登录成功后，认证中心会将用户信息写入Session或返回JWT，门户系统根据这些信息展示对应的内容。

小明：那有没有什么更高级的实现方式？比如使用OpenID Connect？

老张：是的，OpenID Connect 是基于OAuth2.0的轻量级身份协议，它可以在认证的同时提供用户信息。我们可以结合OAuth2.0和OpenID Connect来实现更完善的单点登录方案。

小明：听起来挺复杂的，但确实能提升用户体验。

老张：没错。融合门户和单点登录的结合，不仅提升了用户体验，也降低了系统的维护成本，特别是在企业级应用中非常常见。

小明：那我们可以总结一下整个流程吗？

老张：好的，总结一下：用户访问门户系统，如果没有登录，被重定向到认证中心；用户在认证中心登录后，获得一个令牌；门户系统使用该令牌验证用户身份，验证通过后允许访问资源系统。

小明：明白了。看来这部分内容我已经大致掌握了。

老张：很好，如果你有时间，建议你尝试自己搭建一个简单的示例，这样能加深理解。

小明：一定去试试！谢谢老张！

老张：不客气，有问题随时问我！